а поясните за UDP

Потому что у тебя не тот пакет поймался? Алсо

udp = (struct udphdr *)(ip + 1);

Если у тебя в IP заголовке есть доп.хидеры, твой код тут говна поест. Не делай так.

Оптимист ты однако.

Ты бы проверил для начал, что ehdr->h_proto == ETH_P_IP

Далее проверяем, что ip->version == 4

Потом проверяем, что ip->protocol == IPPROTO_UDP, а потом уже читал данные из udp->

Формально sizeof(struct iphdr) не является константой, так что

udp = (struct udphdr *)((char *)ip +ip->ihl*4)

Ко всему сказанному выше добавлю что скорее всего там надо ntohs().

Оптимист ты однако

я, скорее, «плохо осведомленный пессимист» %)))

вот тут вроде всё работало (мои пакетики ловились), а почему сейчас не пашет стало ясно только с Вашими пояснениями :)

Ко всему сказанному выше добавлю что скорее всего там надо ntohs().

там числа одного порядка были (при подсчете контрольной суммы, но всегда на порялк выше ETH_FRAME_LEN)

Если у тебя в IP заголовке есть доп.хидеры, твой код тут говна поест

Вы про то, что нужно учитывать ->ihl?

103.       printf("Received %d bytes, udp->len = %d, udp->uh_ulen = %d\n", data_size, udp->len, udp->uh_ulen);

uh_ulen и len это одно и тоже поле (нахрена это нужно?) и оно в сетевом представлении. Двумя строками выше используется ntohs() для его чтения.

Читай внимательно man 2 recvfrom. Судя по всему тебе досталась задача с подвохом.

uh_ulen и len это одно и тоже поле (нахрена это нужно?)

ну да, значения там одни и те же все время

Читай внимательно man 2 recvfrom

прийдется перечитать...

Ну и перечитать «man 7 packet» тоже имеет смысл.

Для AF_PACKET,SOCK_RAW параметр протокол имеет немного другое значение.

Для AF_PACKET,SOCK_RAW параметр протокол имеет немного другое значение.

спасибо! не знал...

ничего особо в коде не понял, но возможно, что при объявлении структуры надо использовать __attribute__((packed));, тогда поля структуры и сама структура не будет выравниваться по длине слова

ничего особо в коде не понял, но возможно, что при объявлении структуры надо использовать __attribute__((packed));, тогда поля структуры и сама структура не будет выравниваться по длине слова

да код по ссылке-то работает, у меня проблемы с «копипастом» его в другой проектик %)

ясно, тогда ничего подскахать не смогу, сорян

Ну в том числе. Но для начала проверь, что ты вообще IP-пакет парсишь. Тебе vel всё правильно расписал выше.

да, сейчас так и есть... но где-то все-равно какая-то фигня

Ну ты выложи весь код, без этого нет толку говорить о чём-то.

так конечно не честно - типа задание с собеседования, но, видимо, я не дотягиваюх...

ну так буду знать, где прокосячил :)

А теперь выкинь оттуда всё что не имеет отношения к проблеме.

проблема начинается на 156-ой строчке и заканчивается на 226 :-\

[upd]
даже еще быстрее - на 195-ой

Не мешай сишнику делать новые уязвимости.

Код по ссылке кривой.

1. Он получает ВСЕ пакеты, а не только udp, как ты надеешься. так что проверяй ehdr->h_proto, ip->version, ip->protocol, а потом уже лезь в udp пакет.

2. В recvfrom/recv есть проблема с длиной пакета. Буфер берем 64к, а читаем только 1514 байт.

Есть способ читать только udp через raw_sock - повесить на сокет bpf-фильтр который пропускает только udp. Через «tcpdump -dd udp» можно получить код фильтра. Но это скорее всего будет не портабельно.

Возможно в данном коде есть подстава с vlan-трафиком - нужно учитывать наличие доп. заголовков в езернет-пакете.

    if (ntohs(ehdr->h_proto) != ETH_P_IP) {
//    printf("h_proto(0x%x) != ETH_P_IP\n", ehdr->h_proto);
      return;
    }
    if (ntohs(ip->protocol) != IPPROTO_UDP) {
        printf("protocol(0x%x) != IPPROTO_UDP\n", ip->protocol);
        return;
    }

казалось бы это должно было бы отфильтровывать... но по-факту оно откдывает все что можно

ntohs(ehdr->h_proto) != ETH_P_IP

это отбросит IPv6, так что ip->version вроде как можно не проверять.

А еще хорошо бы проверять КС заголовка ip!

ntohs(ip->protocol) != IPPROTO_UDP

Иди проспись! ip->protocol это байт! htons к нему не нужно применять.

ip->protocol это байт! htons к нему не нужно применять.

ясно, спасибо! я дошел до проверки csum! :))

точнее, почему значение len у структуры такое дикое?

может потому-что ARP ?

вы же явно не проверяете какие-там протоколы и поля..по ethernet много чего может летать кроме ipv4

да осознал уже, что ловилоось всё подряд... зато сейчас уже то, что нужно, спасибо :)