C++ 怎么编写一个 Linux 内核模块（Kernel Module）实现自定义的网络数据包过滤与拦截-C++-PHP中文网

内核模块不能直接用标准c++编写，因linux内核不支持c++运行时（无new/delete/rtti/异常/stl），必须禁用c++特性、仅调用内核导出的c接口，源文件应使用.c后缀并以gcc编译。

c++ 怎么编写一个 linux 内核模块（kernel module）实现自定义的网络数据包过滤与拦截

内核模块不能直接用标准 C++ 编写

Linux 内核本身不支持 C++ 运行时（没有 new、delete、RTTI、异常、STL），所有内核模块必须用纯 C 编写，且只能调用内核导出的 C 接口。哪怕你用 g++ 编译，也必须禁用 C++ 特性，并显式链接内核头文件和符号表。强行混用 C++ 代码（比如定义类、调用 std::vector）会导致编译失败或运行时 oops。

实操建议：

源文件后缀用 .c，不是 .cpp
Makefile 中强制指定 CC = $(CROSS_COMPILE)gcc，禁用 -x c++ 类参数
避免任何 #include <string></string>、#include <memory></memory> 等用户态头文件
字符串操作用 strcpy、strnlen（注意是 strnlen 不是 strlen）、memcmp，而非 std::string
内存分配只用 kmalloc()/kfree()，且必须检查返回值是否为 NULL

网络包过滤必须用 netfilter + nf_hook_ops

Linux 内核不提供“注册一个回调函数就能拦截所有包”的简单接口。真实路径是：在协议栈关键点（如 PRE_ROUTING、LOCAL_IN）注册 nf_hook_ops 结构体，挂载自定义钩子函数。这个函数接收 struct sk_buff *，可读取 IP/TCP 头，但不能随意修改 skb 数据区（需用 skb_pull/skb_push 安全调整）。

常见错误现象：

忘记在 module_init 中调用 nf_register_net_hook(&init_net, &my_hook) → 模块加载成功但完全不生效
钩子函数返回 NF_ACCEPT 以外的值（如 NF_DROP）后，未返回对应常量而是返回 0 或 -1 → 导致内核 panic
在钩子中调用可能 sleep 的函数（如 printk 频繁输出、msleep）→ 触发 “scheduling while atomic” 错误
未对 skb->data 做协议校验就强转 struct iphdr * → 访问越界（例如包被分片、有 VLAN tag、非 IP 协议）

最小可行钩子示例（IP 层丢弃目标端口 6666 的 TCP 包）：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

static unsigned int drop_port_hook(void *priv, struct sk_buff *skb,
                                    const struct nf_hook_state *state) {
    struct iphdr *iph;
    struct tcphdr *tcph;

    if (!skb || !skb->data)
        return NF_ACCEPT;

    iph = ip_hdr(skb);
    if (iph->protocol != IPPROTO_TCP)
        return NF_ACCEPT;

    // 确保 TCP 头完整且可访问
    if (skb->len ihl*4 + sizeof(*tcph))
        return NF_ACCEPT;

    tcph = (struct tcphdr *)((u8 *)iph + iph->ihl*4);
    if (ntohs(tcph->dest) == 6666)
        return NF_DROP;

    return NF_ACCEPT;
}

static struct nf_hook_ops my_hook = {
    .hook     = drop_port_hook,
    .pf       = PF_INET,
    .hooknum  = NF_INET_PRE_ROUTING,
    .priority = NF_IP_PRI_FIRST,
};

模块编译依赖内核头文件与 Kbuild 系统

不能用系统默认的 /usr/include，必须指向当前运行内核的 build 目录（通常是 /lib/modules/$(uname -r)/build）。否则会因结构体定义不一致（如 sk_buff 成员偏移变化）导致加载后立即 oops。

关键配置项：

Makefile 必须包含 KDIR ?= /lib/modules/$(shell uname -r)/build
必须使用内核提供的 make -C $(KDIR) M=$(PWD) modules 方式构建，不能直接调用 gcc
模块源码开头需加 #include <linux></linux>、#include <linux></linux>、#include <linux></linux>、#include <linux></linux>、#include <linux></linux>
必须导出许可证：在模块末尾加 MODULE_LICENSE("GPL");，否则 insmod 拒绝加载（"module license taints kernel"）

调试内核模块比用户程序困难得多

没有 printf，只有 printk()；没有 gdb 单步，只有 kgdb 或 crash 工具；一次错误可能导致系统冻结。最实用的调试组合是：dmesg -w 实时看日志 + cat /proc/kallsyms | grep your_func 查符号地址 + rmmod 后再 insmod 快速迭代。

容易被忽略的细节：