[轉]第二章 鉤子函數的調用

http://www.skynet.org.cn/viewthread.php?tid=7&extra=page%3D2

 

第二章        鉤子函數的調用
作者：kendo
出處：SecPower[www.skynet.org.cn]

版權所有，轉載請註明作者與出處。

1、nf_hook_slow函數

Hook被註冊後，它就會在那裏守株待兔，等待自動送上門的數據包，那麼內核是如何調用到註冊的Hook的呢？在分析NF_HOOK的時候說過，如果指定協議的指定鉤子類型上註冊了鉤子函數數，會調用nf_hook_slow函數：

[Copy to clipboard] [ - ]

CODE:

/* Returns 1 if okfn() needs to be executed by the caller,
* -EPERM for NF_DROP, 0 otherwise. */
int nf_hook_slow(int pf, unsigned int hook, struct sk_buff **pskb,
                 struct net_device *indev,
                 struct net_device *outdev,
                 int (*okfn)(struct sk_buff *),
                 int hook_thresh)
{
        struct list_head *elem;
        unsigned int verdict;
        int ret = 0;

        /* We may already have this, but read-locks nest anyway */
        rcu_read_lock();

#ifdef CONFIG_NETFILTER_DEBUG
        if (unlikely((*pskb)->nf_debug & (1 << hook))) {
                printk("nf_hook: hook %i already set./n", hook);
                nf_dump_skb(pf, *pskb);
        }
        (*pskb)->nf_debug |= (1 << hook);
#endif
        /*取得對應的鏈表首部*/
        elem = &nf_hooks[pf][hook];
next_hook:
        /*調用對應的鉤子函數*/
        verdict = nf_iterate(&nf_hooks[pf][hook], pskb, hook, indev,
                             outdev, &elem, okfn, hook_thresh);
        /*判斷返回值，做相應的處理*/
if (verdict == NF_ACCEPT || verdict == NF_STOP) {
                ret = 1;                /*前面提到過，返回1，則表示裝繼續調用okfn函數指針*/
                goto unlock;
        } else if (verdict == NF_DROP) {
                kfree_skb(*pskb);                /*刪除數據包，需要釋放skb*/
                ret = -EPERM;
        } else if (verdict == NF_QUEUE) {
                NFDEBUG("nf_hook: Verdict = QUEUE./n");
                if (!nf_queue(*pskb, elem, pf, hook, indev, outdev, okfn))
                        goto next_hook;
        }
unlock:
        rcu_read_unlock();
        return ret;
}

內核的數據轉發函數，調用宏NF_HOOK時，會告訴它協議簇和Hook類型，nf_hook_slow函數根據這兩個要素，可以很輕易地從nf_hooks 中取得對應的前面註冊好的Hook鏈表的首部：
elem = &nf_hooks[pf][hook];
然後，就調用函數nf_iterate ，遍歷Hook鏈表，調用鏈用上所有的Hook函數

2、nf_iterate 函數

[Copy to clipboard] [ - ]

CODE:

static unsigned int nf_iterate(struct list_head *head,
                               struct sk_buff **skb,
                               int hook,
                               const struct net_device *indev,
                               const struct net_device *outdev,
                               struct list_head **i,
                               int (*okfn)(struct sk_buff *),
                               int hook_thresh)
{
        unsigned int verdict;

        /*
         * The caller must not block between calls to this
         * function because of risk of continuing from deleted element.
         */
        list_for_each_continue_rcu(*i, head) {                        /*遍歷所有註冊的Hook*/
                /*取得當前遍歷的Hook*/
struct nf_hook_ops *elem = (struct nf_hook_ops *)*i;

                if (hook_thresh > elem->priority)
                        continue;

                /* Optimization: we don't need to hold module
                   reference here, since function can't sleep. --RR */
                /*調用Hook 的函數*/
`        verdict = elem->hook(hook, skb, indev, outdev, okfn);
                if (verdict != NF_ACCEPT) {
#ifdef CONFIG_NETFILTER_DEBUG
                        if (unlikely(verdict > NF_MAX_VERDICT)) {
                                NFDEBUG("Evil return from %p(%u)./n",
                                        elem->hook, hook);
                                continue;
                        }
#endif
                        if (verdict != NF_REPEAT)
                                return verdict;
                        *i = (*i)->prev;
                }
        }
        return NF_ACCEPT;
}

我們可以看到，函數在一個鏈表的遍歷過程中，不斷地調用對應的Hook函數：
verdict = elem->hook(hook, skb, indev, outdev, okfn);
以執行我們註冊好的Hook，對數據包進行我們想要的處理。函數的返回值verdict決定了封包的命令，接受或丟棄，Netfilter共有6 個值：

[Copy to clipboard] [ - ]

CODE:

/* Responses from hook functions. */
#define NF_DROP 0                                 丟棄該數據包
#define NF_ACCEPT 1                                 保留該數據包
#define NF_STOLEN 2                                 記掉該數據包
#define NF_QUEUE 3                                 將該數據包插入到用戶空間
#define NF_REPEAT 4              再次調用該Hook函數
#define NF_STOP 5                                 停止檢測，不再進行下一個Hook函數

逐 個分析每一個Hook函數，就可以瞭解整個Netfilter的運行機理，這是我後面的重點內容。現在需要回答的問題是，如果同時註冊了N個Hook，它 們對封包的處理，有的是ACCEPT，有的是DROP，那麼如果前一個DROP了它，後面的Hook函數還會被執行嗎？來看返回值的處理代碼：

[Copy to clipboard] [ - ]

CODE:

if (verdict != NF_ACCEPT)
{
        if (verdict != NF_REPEAT)
                        return verdict;
        *i = (*i)->prev;
}

很明顯，如果是ACCEPT動作，那麼還會繼續調用下一個Hook，否則，當是REPEAT時，再返回前一個Hook，至於其它動作，則直接返回，不再斷續調用下一個Hook，換句話講，就是如果數據包已經被前一個Hook函數丟棄，當然不會再被交給下一個Hook函數。