为何不将仅仅路过的数据包导入本地协议栈

此事来自于一次故障！
我的windows的wireshark彻底不能用了，不知道为什么...因此我需要另外一种抓包方式。由于我曾经曾经深入过VMware的桥接机制，我知道所有的到达宿主机的数据包也会到达Linux虚拟机的桥接网卡，正如我所了解的那样，虽然不是很顺利，但是最终摸索到为一个桥接模式的网卡设置promisc之后就可以了： 
ifconfig eth2 promisc
就这么简单，于是我可以在Linux虚拟机里面抓到了到达Windows宿主机的数据包，从而成功替代了Wireshark。

关于抓包和协议栈的处理

抓包机制

导入协议栈

#include <linux/module.h>
#include <linux/netpoll.h>
#include <linux/moduleparam.h>

MODULE_PARM_DESC(capdev, " capdev=ethX"
                "指定在哪个设备上启动导入本地协议栈的抓包机制");
MODULE_PARM_DESC(mark, " mark=value"
                "为导入本地协议栈的数据包打上的mark");

static __u32 mark;
module_param(mark, int, 0);

static char devname[256];
struct net_device *capdev;
module_param_string(capdev, devname, 256, 0);

int
cappkg_func (struct sk_buff *skb,
             struct net_device *dev,
             struct packet_type *pt,
             struct net_device *orig_dev)
{

        if (dev != capdev /*不在capdev链表中，目前只有一个*/) {
                goto release_skb;
        }

        if (/*skb->pkt_type == PACKET_OUTGOING ||*/
                //本机发出的包，受制于fib_validate_source！
                //因此需要将源地址SNAT成一个非本机地址！
            skb->pkt_type == PACKET_OTHERHOST) {
                skb->pkt_type = PACKET_HOST;
                skb->mark = mark;
                return netif_receive_skb(skb);
        }

release_skb:

        kfree_skb(skb);
        return NET_RX_SUCCESS;
}

static struct
packet_type cappkg_proto = {
        .type = __constant_htons(ETH_P_ALL),
        .func = cappkg_func,
};

int
init_module (void)
{
        int ret = 0;
        capdev = dev_get_by_name(&init_net, devname);
        if (!capdev) {
                ret = -1;
                goto err;
        }
        dev_add_pack(&cappkg_proto);
err:
        return ret;
}

void
cleanup_module(void)
{
        dev_remove_pack(&cappkg_proto);
}

MODULE_DESCRIPTION("将仅仅是经过本地的数据包导入到本地协议栈处理");
MODULE_AUTHOR("Wangran <marywangran@126.com>");
MODULE_LICENSE("GPL");

代码的用途

1.镜像端口

2.恶作剧

这样可以使tcp的conntrack状态脱离tcp本身的状态，接下来就是下面的时序图了，注意，我把嗅探机放在中间，并不意味着它是串接在正常主机和服务器之间的，因为图是平面的，我只能这么画，正好相反，嗅探机和正常主机一样，旁挂在交换机或者HUB上，另外还需注意，只有在交换机广播数据，也就是说数据包真正到达你的嗅探机时，劫持才能成功：