kprobe监控tcp_v4_connect

最新推荐文章于 2024-04-20 14:06:55 发布

原创

最新推荐文章于 2024-04-20 14:06:55 发布 · 794 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#linux #内核

该博客介绍了如何使用Linux内核探针（Kprobe）来跟踪`tcp_v4_connect`函数的执行，记录TCP连接的源IP、源端口、目的IP和目的端口等信息，并在函数执行前、后及发生故障时打印相关信息。通过模块参数设置要跟踪的函数，展示了内核模块的加载和卸载过程。

#include <linux/kernel.h>
#include <linux/module.h>
#include <linux/kprobes.h>
#include <linux/init.h>
#include <linux/uaccess.h>
#include <linux/inet.h>
#include <net/inet_sock.h>
#include <linux/limits.h>

static char func_name[NAME_MAX] = "tcp_v4_connect";
module_param_string(func, func_name, NAME_MAX, 0644);
MODULE_PARM_DESC(func, "Function to kretprobe; this module will report the"
		               " function's execution time");

static struct kprobe kp = {
	.symbol_name	= func_name
};

static int handler_pre(struct kprobe *p, struct pt_regs *regs)
{
	struct sockaddr_in *usin = (struct sockaddr_in *)(regs->si);
	struct inet_sock *inet = inet_sk((struct sock *)(regs->di));
	__be16 sport = inet->inet_sport;
	__be32 saddr = inet->inet_saddr;
	__be32 daddr = usin->sin_addr.s_addr;

	printk(KERN_INFO "command: %s, pid: %d, src ip: %u.%u.%u.%u, src port: %d, dest ip: %u.%u.%u.%u, dest port: %d