官网：http://securitytech.cc

源码分析mettle后门工具学习 所使用的依赖库

第 3 章：原始 Socket 封装实现

3.1 概述

libdnet 提供了跨平台的原始 Socket 封装，主要用于发送和接收原始 IP 数据包。本章深入分析其内部实现细节，对比 Linux、macOS 和 Windows 平台的不同实现方式。

核心模块架构

支持的平台

3.2 Linux 平台实现 (ip.c + eth-linux.c)

3.2.1 数据结构定义

设计特点：

3.2.2 ip_open – 打开原始 Socket

源码分析 (ip.c:25-61):

关键点解析：

权限要求：

3.2.3 ip_send – 发送原始 IP 数据包

源码分析 (ip.c:63-93):

执行流程：

Linux 内核处理过程：

3.2.4 ip_close – 关闭 Socket

源码分析 (ip.c:95-104):

3.3 Windows 平台实现 (ip-win32.c)

3.3.1 数据结构定义

设计特点：

3.3.2 ip_open – 打开原始 Socket

源码分析 (ip-win32.c:24-49):

Windows 特有特点：

权限要求：

常见错误：

3.3.3 ip_send – 发送原始 IP 数据包

源码分析 (ip-win32.c:51-63):

⚠️ 重要差异：Windows 使用源地址作为发送目标！

这是一个非常容易出错的差异：

原因分析：

Windows 内核处理流程：

3.3.4 ip_close – 关闭 Socket

源码分析 (ip-win32.c:65-75):

清理顺序：

3.4 macOS/BSD 平台实现 (ip.c + eth-bsd.c)

3.4.1 概述

macOS 和其他 BSD 系统（FreeBSD、OpenBSD、NetBSD）使用 Berkeley Packet Filter (BPF) 进行原始数据包发送。BPF 是一个强大的内核级数据包捕获和过滤框架，提供了比 Linux PF_PACKET 更灵活的接口。

3.4.2 数据结构定义

设计特点：

3.4.3 eth_open – 打开 BPF 设备

源码分析 (eth-bsd.c:39-74):

BPF 设备特点：

3.4.4 eth_send – 发送以太网帧

源码分析 (eth-bsd.c:76-80):

设计特点：

与 Linux 对比：

3.4.5 eth_get – 获取 MAC 地址

源码分析 (eth-bsd.c:94-138):

sysctl 获取接口信息的原理：

3.4.6 macOS 特有问题与解决

问题 1: macOS 10.6 的 O_WRONLY Bug

问题描述：macOS 10.6 (Snow Leopard) 有一个 bug，如果以 O_WRONLY 模式打开 BPF 设备，会导致其他进程无法接收网络流量。

解决方案：

问题 2: BPF 设备数量限制

问题描述：系统默认创建的 BPF 设备数量有限，可能不够多个进程同时使用。

解决方案：

问题 3: 设备命名差异

3.5 用户态 IP 实现 (ip-cooked.c)

3.4.1 实现动机

在某些平台或场景下，原始 socket 不可用或受到限制：

libdnet 提供了 ip-cooked.c，在用户态实现 IP 层功能，通过以太网 socket 发送数据包。

3.4.2 数据结构定义

设计特点：

3.4.3 ip_open – 初始化用户态 IP

源码分析 (ip-cooked.c:67-93):

_add_ip_intf 回调函数 (ip-cooked.c:42-65):

3.4.4 _lookup_ip_intf – 查找出口接口

源码分析 (ip-cooked.c:95-124):

路由查找技巧详解：

优势：

3.4.5 _request_arp – 发送 ARP 请求

源码分析 (ip-cooked.c:126-138):

ARP 请求帧格式：

3.4.6 ip_send – 用户态 IP 发送

源码分析 (ip-cooked.c:140-220):

发送流程详解：

IP 分片算法：

3.4.7 ip_close – 清理资源

源码分析 (ip-cooked.c:222-246):

3.6 平台对比总结

3.6.1 数据结构对比

3.6.2 ip_open 对比

3.6.3 以太网发送对比

3.6.4 ip_send 对比

3.6.5 使用场景

3.7 实战案例：构建自定义 IP 数据包

3.6.1 完整示例代码

3.6.2 编译与运行

Linux:

Windows (MSVC):

Cooked 模式（无需 root/管理员权限）:

3.8 校验和计算实现 (ip-util.c)

3.7.1 IP 校验和算法

源码分析 (ip-util.c:131-182):

IP 校验和计算原理：

3.7.2 TCP/UDP 伪首部校验和

TCP 校验和 (ip-util.c:101-109):

TCP 伪首部结构：

伪首部校验和计算：

3.7.3 高性能校验和计算 (Duff’s Device)

源码分析 (ip-util.c:184-238):

Duff’s Device 原理：

性能优势：

3.9 常见问题与调试

3.8.1 Linux 常见问题

3.8.2 Windows 常见问题

3.8.3 调试技巧

1. 启用详细日志

2. 使用 tcpdump 抓包

3. 检查内核日志

3.10 总结

3.9.1 核心要点

3.9.2 最佳实践