Linux下网卡的混杂模式

• 混杂模式就是接收所有经过网卡的数据包，包括不是发给本机的包，即不验证MAC地址。普通模式下网卡只接收发给本机的包（包括广播包）传递给上层程序，其它的包一律丢弃。一般来说，混杂模式不会影响网卡的正常工作，多在网络监听工具上使用。

网卡具有如下的几种工作模式：

1. 广播模式（Broad Cast Model）:它的物理地址（MAC）地址是 0Xffffff 的帧为广播帧，工作在广播模式的网卡接收广播帧。
2. 多播传送（MultiCast Model）：多播传送地址作为目的物理地址的帧可以被组内的其它主机同时接收，而组外主机却接收不到。但是，如果将网卡设置为多播传送模式，它可以接收所有的多播传送帧，而不论它是不是组内成员。
3. 直接模式（Direct Model）:工作在直接模式下的网卡只接收目地址是自己 Mac地址的帧。
4. 混杂模式（Promiscuous Model）:工作在混杂模式下的网卡接收所有的流过网卡的帧，信包捕获程序就是在这种模式下运行的。

网卡的缺省工作模式包含广播模式和直接模式，即它只接收广播帧和发给自己的帧。如果采用混杂模式，一个站点的网卡将接受同一网络内所有站点所发送的数据包这样就可以到达对于网络信息监视捕获的目的。

小知识：

• 使用tcpdump抓包时网卡会进入混杂模式，可以在/var/log/messages里看到
  如下图，开启tcpdump抓包后，在新窗口克隆会话tail -f /var/log/messages可以看到系统日志

kernel: device eth0 entered promiscuous mode

• 实际上网卡是否处于混杂模式并不能根据ifconfig查看是否有PROMISC字段来判断，例如开启tcpdump抓包，这时ifconfig查看并没有PROMISC字段。实际上，网卡是否处于PROMISC模式，ifconfig并不是最直接的判断依据，换句话说就是ifconfig能看到PROMISC标记表示一定处于混杂模式，但处于混杂模式并不一定能看到PROMISC标记。内核判断网卡是否处于混杂模式是看/sys/class/net/eth0/flags的值，如果置位了0x100，则处于混杂模式
  
  [root@CentOS_DIY ~]# cat /usr/include/linux/if.h | grep -i promisc

#define IFF_PROMISC 0x100 /* receive all packets */

小结：

1. 网卡的缺省工作模式包含广播模式和直接模式。
2. 混杂模式并不一定能看到PROMISC标记。内核判断网卡是否处于混杂模式是看/sys/class/net/eth0/flags的值。
3. ifconfig能看到PROMISC标记表示一定处于混杂模式。
4. 开启tcpdump抓包，这时ifconfig可没有PROMISC字段，它会自动去内核设置混杂模式。
5. 一般来说，混杂模式不会影响网卡的正常工作，多在网络监听工具上使用。

原始套接字编程

• 和UDP 编程差不多，就是创建一个套接字后，通过这个套接字接收数据或者发送数据。
  区别在于，原始套接字可以自行组装数据包（伪装本地 IP，本地 MAC），可以接收本机网卡上所有的数据帧（数据包）。
  另外，必须在管理员权限下才能使用原始套接字。

• 原始套接字的创建

int socket ( int family, int type, int protocol );

• 参数：

family：协议族 这里写 PF_PACKETtype：  套接字类，这里写 SOCK_RAWprotocol：协议类别，指定可以接收或发送的数据包类型，不能写 “0”，取值如下，注意，传参时需要用 htons() 进行字节序转换。ETH_P_IP：IPV4数据包ETH_P_ARP：ARP数据包ETH_P_ALL：任何协议类型的数据包

• 返回值：

成功( >0 )：套接字，这里为链路层的套接字失败( <0 )：出错

• 实例如下：

// 所需头文件
#include <sys/socket.h>
#include <netinet/ether.h>
#include <stdio.h>  // perrorint main(int argc,char *argv[])
{int sock_raw_fd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL) );if(sock_raw_fd < 0){perror("socket");return -1;}return 0;
}

• SIOCGIFFLAGS, SIOCSIFFLAGS

• 读取 或 设置 设备的 活动标志字. ifr_flags 包含 下列值 的 屏蔽位:

设备标志
IFF_UP	接口正在运行.
IFF_BROADCAST	有效的广播地址集.
IFF_DEBUG	内部调试标志.
IFF_LOOPBACK	这是自环接口.
IFF_POINTOPOINT	这是点到点的链路接口.
IFF_RUNNING	资源已分配.
IFF_NOARP	无arp协议, 没有设置第二层目的地址.
IFF_PROMISC	接口为杂凑(promiscuous)模式.
IFF_NOTRAILERS	避免使用trailer .
IFF_ALLMULTI	接收所有组播(multicast)报文.
IFF_MASTER	主负载平衡群(bundle).
IFF_SLAVE	从负载平衡群(bundle).
IFF_MULTICAST	支持组播(multicast).
IFF_PORTSEL	可以通过ifmap选择介质(media)类型.
IFF_AUTOMEDIA	自动选择介质.
IFF_DYNAMIC	接口关闭时丢弃地址.

• 获取链路层的数据包

ssize_t recvfrom(  int sockfd,  void *buf,  size_t nbytes, int flags, struct sockaddr *from,  socklen_t *addrlen );

• 参数：

sockfd:原始套接字buf：接收数据缓冲区nbytes:接收数据缓冲区的大小flags：套接字标志(常为0)from：这里没有用，写 NULLaddrlen：这里没有用，写 NULL

• 返回值：

成功：接收到的字符数失败：-1

• 实例如下：

#include <stdio.h>
#include <netinet/in.h>
#include <sys/socket.h>
#include <netinet/ether.h>int main(int argc,char *argv[])
{unsigned char buf[1024] = {0};int sock_raw_fd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL));//获取链路层的数据包int len = recvfrom(sock_raw_fd, buf, sizeof(buf), 0, NULL, NULL);printf("len = %d\n", len);return 0;
}

混杂模式

• 默认的情况下，我们接收数据，目的地址是本地地址，才会接收。有时候我们想接收所有经过网卡的所有数据流，而不论其目的地址是否是它，这时候我们需要设置网卡为混杂模式。

• 网卡的混杂模式一般在网络管理员分析网络数据作为网络故障诊断手段时用到，同时这个模式也被网络黑客利用来作为网络数据窃听的入口。在 Linux 操作系统中设置网卡混杂模式时需要管理员权限。在 Windows 操作系统和 Linux 操作系统中都有使用混杂模式的抓包工具，比如著名的开源软件 Wireshark。

通过命令给 Linux 网卡设置混杂模式（需要管理员权限）

• 设置混杂模式：ifconfig eth0 promisc

• 取消混杂模式：ifconfig eth0 -promisc

• 通过代码给 Linux 网卡设置混杂模式

• 代码如下：

//
// 设置网卡混杂模式
int CGpIpTools::rawSoketInit()
{int sockfd;         			// 原始socketstruct ifreq ifr;  				// 网络接口地址struct sockaddr_ll local_addr;/* 创建原始socket */if ((sockfd = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_ALL))) < 0){LOGERROR("socket fail\n");return -1;}/* 设置成混杂模式 */strcpy(ifr.ifr_name, "eth0");  				// 指定网卡名称if (ioctl(sockfd, SIOCGIFFLAGS, &ifr) < 0)  // 获取网络接口{LOGERROR("ioctl fail\n");close(sockfd);return -1;}ifr.ifr_flags |= IFF_PROMISC;				// 网卡设置混杂模式if (ioctl(sockfd, SIOCSIFFLAGS, &ifr) < 0){LOGERROR("ioctl fail\n");close(sockfd);return -1;}/* 获取物理网卡接口索引 */strcpy(ifr.ifr_name, "eth0");if (ioctl(sockfd, SIOCGIFINDEX, &ifr) < 0){LOGERROR("ioctl fail\n");close(sockfd);return -1;}/* 绑定物理网卡 */local_addr.sll_family = PF_PACKET;local_addr.sll_ifindex = ifr.ifr_ifindex;local_addr.sll_protocol = htons(ETH_P_ALL);if (bind(sockfd, (struct sockaddr *)&local_addr, sizeof(local_addr)) < 0){LOGERROR("bind fail\n");close(sockfd);return -1;}return sockfd;
}

• 发送自定义的数据包：

ssize_t sendto(   int sockfd, const void *buf, size_t nbytes,int flags, const struct sockaddr *to, socklen_t addrlen);

• 参数：

sockfd：原始套接字buf：发送数据缓冲区nbytes:发送数据缓冲区的大小flags：一般为 0to：本机网络接口，指发送的数据应该从本机的哪个网卡出去，而不是以前的目的地址addrlen：to 所指向内容的长度

• 返回值：

成功：发送数据的字符数失败： -1

• 本机网络接口的定义

• 发送完整代码如下：

#include <net/if.h>// struct ifreq
#include <sys/ioctl.h> // ioctl、SIOCGIFADDR
#include <sys/socket.h> // socket
#include <netinet/ether.h> // ETH_P_ALL
#include <netpacket/packet.h> // struct sockaddr_llstruct sockaddr_ll sll;								// 原始套接字地址结构
struct ifreq req;									// 网络接口地址strncpy(req.ifr_name, "eth0", IFNAMSIZ);			// 指定网卡名称
if(-1 == ioctl(sock_raw_fd, SIOCGIFINDEX, &req))	// 获取网络接口
{perror("ioctl");close(sock_raw_fd);exit(-1);
}/*将网络接口赋值给原始套接字地址结构*/
bzero(&sll, sizeof(sll));
sll.sll_ifindex = req.ifr_ifindex;// 发送数据
// send_msg, msg_len 这里还没有定义，模拟一下
int len = sendto(sock_raw_fd, send_msg, msg_len, 0 , (struct sockaddr *)&sll, sizeof(sll));
if(len == -1)
{perror("sendto");
}/*也可以使用udp进行收发*/
//
// 初始化udp socket
int CGpIpTools::localSocketInit()
{int sockFd = 0;struct sockaddr_in sockAddr;if ((sockFd = socket(AF_INET, SOCK_DGRAM, IPPROTO_UDP)) < 0){LOGERROR("socket error.\n");return -1;}sockAddr.sin_family = AF_INET;sockAddr.sin_addr.s_addr = inet_addr("0.0.0.0");sockAddr.sin_port = htons(5566);if (bind(sockFd, (struct sockaddr *)&sockAddr, sizeof(sockAddr)) < 0){LOGERROR("bind error.\n");return -1;}int val = 1;setsockopt(sockFd, SOL_SOCKET, SO_BROADCAST, &val, sizeof(val));setsockopt(sockFd, SOL_SOCKET, SO_REUSEADDR, &val, sizeof(val));return sockFd;
}//
// 主函数入口
int main(int argc, char **argv)
{int recvLen;int dwCrc;int rawSockFd = 0, localSockFd = 0;struct sockaddr_ll remoteAddr;struct sockaddr_in clientAddr;int addrLen = sizeof(remoteAddr);char recvBuf[1024] = { 0 };char sendBuf[1024] = { 0 };back_up_net_interface();rawSockFd = rawSoketInit();localSockFd = localSocketInit();if ((rawSockFd < 0) || (localSockFd < 0)){printf("create socket error.\n");return -1;}clientAddr.sin_family = AF_INET;clientAddr.sin_addr.s_addr = INADDR_BROADCAST;clientAddr.sin_port = htons(8000);pid_t pid = getpid();struct sched_param param;param.sched_priority = sched_get_priority_max(SCHED_FIFO);sched_setscheduler(pid, SCHED_FIFO, &param);while (1){bzero(recvBuf, sizeof(recvBuf));recvLen = recvfrom(localSockFd, recvBuf, sizeof(recvBuf), 0, (struct sockaddr *)&remoteAddr, &addrLen);DataHead *pHead = (DataHead *)recvBuf;//printf("magic:0x%x\n",ntohl(pHead->mMgic));if (MAGIC == pHead->mMgic){printf("data len%d\n", pHead->mLen);bzero(sendBuf, sizeof(sendBuf));parseCmd(pHead->mPackType, recvBuf, sendBuf);if (((DataHead *)sendBuf)->mPackType == ACK_INVALID_CMD)continue;int ret = sendto(localSockFd, (char *)sendBuf, ((DataHead *)sendBuf)->mLen, 0, (struct sockaddr *)&clientAddr, sizeof(clientAddr));//perror("send error.\n");printf("data len:%d,send len:%d\n", ((DataHead *)sendBuf)->mLen, ret);}usleep(1000 * 20);}close(rawSockFd);close(localSockFd);return 0;
}