net/netfilter/xt_tcpudp.c

   1 #include <linux/types.h>
   2 #include <linux/module.h>
   3 #include <net/ip.h>
   4 #include <linux/ipv6.h>
   5 #include <net/ipv6.h>
   6 #include <net/tcp.h>
   7 #include <net/udp.h>
   8 #include <linux/netfilter/x_tables.h>
   9 #include <linux/netfilter/xt_tcpudp.h>
  10 #include <linux/netfilter_ipv4/ip_tables.h>
  11 #include <linux/netfilter_ipv6/ip6_tables.h>
  12
  13 MODULE_DESCRIPTION("Xtables: TCP, UDP and UDP-Lite match");
  14 MODULE_LICENSE("GPL");
  15 MODULE_ALIAS("xt_tcp");
  16 MODULE_ALIAS("xt_udp");
  17 MODULE_ALIAS("ipt_udp");
  18 MODULE_ALIAS("ipt_tcp");
  19 MODULE_ALIAS("ip6t_udp");
  20 MODULE_ALIAS("ip6t_tcp");
  21
  22 #ifdef DEBUG_IP_FIREWALL_USER
  23 #define duprintf(format, args...) printk(format , ## args)
  24 #else
  25 #define duprintf(format, args...)
  26 #endif
  27
  28
  29 /* Returns 1 if the port is matched by the range, 0 otherwise */
  30 static inline bool
  31 port_match(u_int16_t min, u_int16_t max, u_int16_t port, bool invert)
  32 {
  33         return (port >= min && port <= max) ^ invert;
  34 }
  35
  36 static bool
  37 tcp_find_option(u_int8_t option,
  38                 const struct sk_buff *skb,
  39                 unsigned int protoff,
  40                 unsigned int optlen,
  41                 bool invert,
  42                 bool *hotdrop)
  43 {
  44         /* tcp.doff is only 4 bits, ie. max 15 * 4 bytes */
  45         const u_int8_t *op;
  46         u_int8_t _opt[60 - sizeof(struct tcphdr)];
  47         unsigned int i;
  48
  49         duprintf("tcp_match: finding option\n");
  50
  51         if (!optlen)
  52                 return invert;
  53
  54         /* If we don't have the whole header, drop packet. */
  55         op = skb_header_pointer(skb, protoff + sizeof(struct tcphdr),
  56                                 optlen, _opt);
  57         if (op == NULL) {
  58                 *hotdrop = true;
  59                 return false;
  60         }
  61
  62         for (i = 0; i < optlen; ) {
  63                 if (op[i] == option) return !invert;
  64                 if (op[i] < 2) i++;
  65                 else i += op[i+1]?:1;
  66         }
  67
  68         return invert;
  69 }
  70
  71 static bool
  72 tcp_mt(const struct sk_buff *skb, const struct net_device *in,
  73        const struct net_device *out, const struct xt_match *match,
  74        const void *matchinfo, int offset, unsigned int protoff, bool *hotdrop)
  75 {
  76         const struct tcphdr *th;
  77         struct tcphdr _tcph;
  78         const struct xt_tcp *tcpinfo = matchinfo;
  79
  80         if (offset) {
  81                 /* To quote Alan:
  82
  83                    Don't allow a fragment of TCP 8 bytes in. Nobody normal
  84                    causes this. Its a cracker trying to break in by doing a
  85                    flag overwrite to pass the direction checks.
  86                 */
  87                 if (offset == 1) {
  88                         duprintf("Dropping evil TCP offset=1 frag.\n");
  89                         *hotdrop = true;
  90                 }
  91                 /* Must not be a fragment. */
  92                 return false;
  93         }
  94
  95 #define FWINVTCP(bool, invflg) ((bool) ^ !!(tcpinfo->invflags & (invflg)))
  96
  97         th = skb_header_pointer(skb, protoff, sizeof(_tcph), &_tcph);
  98         if (th == NULL) {
  99                 /* We've been asked to examine this packet, and we
 100                    can't.  Hence, no choice but to drop. */
 101                 duprintf("Dropping evil TCP offset=0 tinygram.\n");
 102                 *hotdrop = true;
 103                 return false;
 104         }
 105
 106         if (!port_match(tcpinfo->spts[0], tcpinfo->spts[1],
 107                         ntohs(th->source),
 108                         !!(tcpinfo->invflags & XT_TCP_INV_SRCPT)))
 109                 return false;
 110         if (!port_match(tcpinfo->dpts[0], tcpinfo->dpts[1],
 111                         ntohs(th->dest),
 112                         !!(tcpinfo->invflags & XT_TCP_INV_DSTPT)))
 113                 return false;
 114         if (!FWINVTCP((((unsigned char *)th)[13] & tcpinfo->flg_mask)
 115                       == tcpinfo->flg_cmp,
 116                       XT_TCP_INV_FLAGS))
 117                 return false;
 118         if (tcpinfo->option) {
 119                 if (th->doff * 4 < sizeof(_tcph)) {
 120                         *hotdrop = true;
 121                         return false;
 122                 }
 123                 if (!tcp_find_option(tcpinfo->option, skb, protoff,
 124                                      th->doff*4 - sizeof(_tcph),
 125                                      tcpinfo->invflags & XT_TCP_INV_OPTION,
 126                                      hotdrop))
 127                         return false;
 128         }
 129         return true;
 130 }
 131
 132 /* Called when user tries to insert an entry of this type. */
 133 static bool
 134 tcp_mt_check(const char *tablename, const void *info,
 135              const struct xt_match *match, void *matchinfo,
 136              unsigned int hook_mask)
 137 {
 138         const struct xt_tcp *tcpinfo = matchinfo;
 139
 140         /* Must specify no unknown invflags */
 141         return !(tcpinfo->invflags & ~XT_TCP_INV_MASK);
 142 }
 143
 144 static bool
 145 udp_mt(const struct sk_buff *skb, const struct net_device *in,
 146        const struct net_device *out, const struct xt_match *match,
 147        const void *matchinfo, int offset, unsigned int protoff, bool *hotdrop)
 148 {
 149         const struct udphdr *uh;
 150         struct udphdr _udph;
 151         const struct xt_udp *udpinfo = matchinfo;
 152
 153         /* Must not be a fragment. */
 154         if (offset)
 155                 return false;
 156
 157         uh = skb_header_pointer(skb, protoff, sizeof(_udph), &_udph);
 158         if (uh == NULL) {
 159                 /* We've been asked to examine this packet, and we
 160                    can't.  Hence, no choice but to drop. */
 161                 duprintf("Dropping evil UDP tinygram.\n");
 162                 *hotdrop = true;
 163                 return false;
 164         }
 165
 166         return port_match(udpinfo->spts[0], udpinfo->spts[1],
 167                           ntohs(uh->source),
 168                           !!(udpinfo->invflags & XT_UDP_INV_SRCPT))
 169                 && port_match(udpinfo->dpts[0], udpinfo->dpts[1],
 170                               ntohs(uh->dest),
 171                               !!(udpinfo->invflags & XT_UDP_INV_DSTPT));
 172 }
 173
 174 /* Called when user tries to insert an entry of this type. */
 175 static bool
 176 udp_mt_check(const char *tablename, const void *info,
 177              const struct xt_match *match, void *matchinfo,
 178              unsigned int hook_mask)
 179 {
 180         const struct xt_udp *udpinfo = matchinfo;
 181
 182         /* Must specify no unknown invflags */
 183         return !(udpinfo->invflags & ~XT_UDP_INV_MASK);
 184 }
 185
 186 static struct xt_match tcpudp_mt_reg[] __read_mostly = {
 187         {
 188                 .name           = "tcp",
 189                 .family         = AF_INET,
 190                 .checkentry     = tcp_mt_check,
 191                 .match          = tcp_mt,
 192                 .matchsize      = sizeof(struct xt_tcp),
 193                 .proto          = IPPROTO_TCP,
 194                 .me             = THIS_MODULE,
 195         },
 196         {
 197                 .name           = "tcp",
 198                 .family         = AF_INET6,
 199                 .checkentry     = tcp_mt_check,
 200                 .match          = tcp_mt,
 201                 .matchsize      = sizeof(struct xt_tcp),
 202                 .proto          = IPPROTO_TCP,
 203                 .me             = THIS_MODULE,
 204         },
 205         {
 206                 .name           = "udp",
 207                 .family         = AF_INET,
 208                 .checkentry     = udp_mt_check,
 209                 .match          = udp_mt,
 210                 .matchsize      = sizeof(struct xt_udp),
 211                 .proto          = IPPROTO_UDP,
 212                 .me             = THIS_MODULE,
 213         },
 214         {
 215                 .name           = "udp",
 216                 .family         = AF_INET6,
 217                 .checkentry     = udp_mt_check,
 218                 .match          = udp_mt,
 219                 .matchsize      = sizeof(struct xt_udp),
 220                 .proto          = IPPROTO_UDP,
 221                 .me             = THIS_MODULE,
 222         },
 223         {
 224                 .name           = "udplite",
 225                 .family         = AF_INET,
 226                 .checkentry     = udp_mt_check,
 227                 .match          = udp_mt,
 228                 .matchsize      = sizeof(struct xt_udp),
 229                 .proto          = IPPROTO_UDPLITE,
 230                 .me             = THIS_MODULE,
 231         },
 232         {
 233                 .name           = "udplite",
 234                 .family         = AF_INET6,
 235                 .checkentry     = udp_mt_check,
 236                 .match          = udp_mt,
 237                 .matchsize      = sizeof(struct xt_udp),
 238                 .proto          = IPPROTO_UDPLITE,
 239                 .me             = THIS_MODULE,
 240         },
 241 };
 242
 243 static int __init tcpudp_mt_init(void)
 244 {
 245         return xt_register_matches(tcpudp_mt_reg, ARRAY_SIZE(tcpudp_mt_reg));
 246 }
 247
 248 static void __exit tcpudp_mt_exit(void)
 249 {
 250         xt_unregister_matches(tcpudp_mt_reg, ARRAY_SIZE(tcpudp_mt_reg));
 251 }
 252
 253 module_init(tcpudp_mt_init);
 254 module_exit(tcpudp_mt_exit);