iptables可匹配单包明文载荷中的十六进制特征，但无法处理tls加密、跨包分片或编码混淆，仅适用于http/dns等未加密协议的轻量级兜底防护。
iptables 可以匹配报文载荷中的十六进制特征，但仅限于单包、明文、未加密、且特征完整落在一个 TCP/UDP 数据段内的场景。它不是应用层检测工具，不能替代 WAF 或 DPI，而是作为轻量级网络层兜底手段。
确认基础支持再动手
执行以下命令验证环境是否就绪：
-
检查模块可用性：运行
iptables -m string --help，若显示--hex-string选项即支持；否则需加载xt_string内核模块（modprobe xt_string） -
确认内核配置：需启用
CONFIG_NETFILTER_XT_MATCH_STRING=m，可通过zcat /proc/config.gz | grep STRING查看（如无 config.gz，检查/lib/modules/$(uname -r)/kernel/net/netfilter/xt_string.ko*是否存在） -
避免误用端口：HTTPS（443）、TLS 封装的 DNS（853）、DoH（443）、DoT（853）等流量载荷为密文，
--hex-string对其正文完全无效，仅可能偶然匹配 ClientHello 中的 SNI 字段（不可靠，不建议依赖）
用 --hex-string 匹配明文载荷特征
适用于 HTTP、DNS 查询、Telnet、未加密 SMTP 等协议中已知的二进制指纹，例如 Webshell 的 shellcode 片段、Cobalt Strike 的固定 User-Agent、或 DNS 域名二进制编码格式。
-
语法要点：用竖线包裹字节，小写、无空格，如
|6576616c|表示 ASCII “eval”；|05|baidu|03|com|表示 DNS 协议中域名“baidu.com”的标准编码（长度字节+字符） -
限定范围减开销：加
--from 40 --to 1024跳过 IP/TCP 头部，聚焦 HTTP body 或 DNS payload 区域；默认从载荷起始扫描，易误触头部字段 -
算法选型：短模式（≤ 32 字节）用
--algo bm（Boyer-Moore），速度快；长模式或需降低误判率时用--algo kmp -
典型规则示例：
iptables -A INPUT -p tcp --dport 80 -m string --hex-string "|73797374656d|" --algo bm --from 200 --to 1500 -j DROP（拦截含 “system” 的明文 HTTP 请求）iptables -A INPUT -p udp --dport 53 -m string --hex-string "www|05|baidu|03|com|" --algo bm -j DROP（阻断对 baidu.com 的 DNS 查询）
用 -m u32 精确匹配固定偏移字节
比字符串匹配更高效、更确定，适合识别协议头后第 N 字节恒定的恶意标志，例如自定义 C2 协议中的 magic byte、ICMP 隧道载荷起始标识、或 DNS 污染响应中伪造 IP 的固定位置。
-
偏移计算要准：u32 以 4 字节为单位索引，从 IP 头起算。TCP 载荷首字节通常在偏移
20（IP头）+ 20（最小TCP头）= 40处；若 TCP 头含选项（如时间戳），需按最大可能头长估算（如 60 字节 → 偏移 80） -
单字节匹配写法：
"40 & 0xFF = 0x90"表示检查 TCP 载荷第 0 字节是否为 0x90（x86 NOP 指令） -
多字节组合更可靠：避免单字节误杀，可叠加条件，如
"40 & 0xFFFF = 0x1234 && 44 & 0xFF = 0x56"匹配连续 3 字节 -
实战参考：
iptables -A INPUT -p udp -m u32 --u32 "8 & 0xFFFFFFFF = 0x76053106" -j DROP（快速丢弃 DNS 污染包中伪造 IP 为 118.5.49.6 的响应）
必须避开的常见陷阱
这些限制若忽略，规则将大面积失效或误伤正常业务：
- 跨包特征无法捕获：HTTP POST 请求被 TCP 分片后，“<script>”可能被切在两个包里，iptables 对第二个包的载荷只扫自身内容，无法关联</script>
-
编码与混淆绕过普遍：URL 编码（
%3Cscript%3E）、大小写混用（EvAl）、Base64 嵌套、或异或加密后的 payload，均逃逸纯 hex-string 匹配 -
状态规则顺序关键：务必把
--hex-string规则放在-m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT之后、具体服务规则之前，否则会误杀已建立连接的响应包 -
性能敏感场景慎用：每包触发字符串扫描会显著降低吞吐，高并发节点应优先用
-m length或-m u32做初筛，再对可疑流做深度匹配
