Golang으로 트래픽 캡처

소개

소프트웨어 엔지니어링 업계에 종사하는 대부분의 사람들은 TCPDump, WireShark 등에 대해 들어봤습니다.
그리고 TCPDump 팀이 트래픽을 캡처하기 위해 개발하고 Wireshark에서도 사용하는 libpcap¹ 라이브러리에 대해 들어보셨을 것입니다.

이 라이브러리¹는 네트워크 인터페이스에서 트래픽을 캡처하여 코드로 처리할 수 있는 유연한 인터페이스를 제공합니다. 이는 성능 코드를 작성하고 필요한 데이터만 수집하는 데 필요한 만큼의 비즈니스 로직을 포함할 수 있는 유연성을 제공합니다.

최근에 필요한 패킷을 수집하고 분석한 후 향후 수동 검토를 위해 저장하는 것이 좋은 작업을 확인했습니다. 수동으로 검토하려면 WireShak을 사용하여 pcap 파일을 로드하고 멋진 UI를 사용하여 수집된 패킷을 수동으로 검토할 수 있습니다.

그리고 가장 중요한 부분인 '왜 Go'인가요? Go는 코드를 작성하고 여러 팀 구성원이 지원할 수 있을 만큼 간단하고 멋진 언어입니다. C 및 C++보다 훨씬 안전하며 예상치 못한 놀라움 없이 다른 사람들이 이를 지원하는 데 훨씬 적은 경험이 필요합니다. 성능이 뛰어난 언어(C, C++, Rust 등)를 사용해야 할 때 요구 사항이 없을 때까지는 Golang을 선택하는 것을 선호합니다.

작업 정의

무언가를 시작하기 전에 결과를 통해 무엇을 달성하고 싶은지 이해하는 것이 좋습니다. 간단한 요구 사항 목록을 정의해 보겠습니다.

요구사항

구현을 최대한 단순하게 유지하기 위해 몇 가지 사항만 정의하겠습니다.

1. 나가는 트래픽을 수집하고 싶습니다
2. IPv4 트래픽을 수집하자
3. 사설 네트워크 트래픽 무시
4. 그리고 UDP 패킷을 유지하자

이 간단한 몇 가지 사항만으로도 Golang에서 libpcap¹을 사용하는 방법에 대한 아이디어를 얻을 수 있습니다.
그 이후에는 그 위에 어떤 논리가 추가될지는 상상의 문제일 뿐입니다.

구현

시작하기 전에 코드가 프로덕션 준비가 되어 있지 않다고 가정하겠습니다. 우리의 목표는 최소한의 예제를 보고 잘 작동하는지 테스트하는 것입니다.

우리는 다음 라이브러리를 사용할 것입니다:

1. 로그인을 위한 슬로그
2. 패킷 캡처 및 pcap 파일 형식 형식 지정은 github.com/google/gopacket

향후 코드의 인터페이스는 eth0이 될 것입니다. 하지만 시스템의 인터페이스 이름은 다를 가능성이 높습니다.

작업 코드

복사하여 자신의 환경에서 사용해 볼 수 있는 주석이 포함된 코드입니다.
libpcap¹을 사용하므로 애플리케이션은 CGO를 사용하고 root 사용자
에서 앱을 실행해야 합니다.

package main

import (
    "bytes"
    "log/slog"
    "net"
    "os"

    "github.com/google/gopacket"
    "github.com/google/gopacket/layers"
    "github.com/google/gopacket/pcap"
    "github.com/google/gopacket/pcapgo"
)

const (
    interfaceName = "eth0"
    snaplen       = 1500
)

func main() {
    slog.Info("Running our applicaiton...")

    // Get handler attached to an interface.
    handle, err := pcap.OpenLive(interfaceName, snaplen, true, pcap.BlockForever)
    if err != nil {
        slog.Error("Could not OpenLive", slog.String("err", err.Error()))
        os.Exit(1)
    }

    iface, err := net.InterfaceByName(interfaceName)
    if err != nil {
        slog.Error("Could not OpenLive", slog.String("err", err.Error()))
        os.Exit(1)
    }

    // Start new Source reader.
    source := gopacket.NewPacketSource(handle, handle.LinkType())

    // This is suppose to be a file writer, but we will use memory, just for simplification.
    fileWriter := bytes.NewBuffer(nil)
    pcapWriter := pcapgo.NewWriterNanos(fileWriter)
    err = pcapWriter.WriteFileHeader(snaplen, handle.LinkType())
    if err != nil {
        slog.Error("Could not write pcap header", slog.String("err", err.Error()))
        os.Exit(1)
    }

    // Reading packages.
    for packet := range source.Packets() {
        // Filter by outcoming traffic only.
        // To filter it, we need to compare MAC addresses from out interface and source MAC.
        // To access a mac Address we need to get an Ethernet layer.
        layer := packet.Layer(layers.LayerTypeEthernet)

        ethernet, ok := layer.(*layers.Ethernet)
        if !ok {
            slog.Error("Could not get Ethernet layer")
            continue
        }

        if !bytes.Equal(ethernet.SrcMAC, iface.HardwareAddr) {
            // Our interface did not send this packet. It's not outcoming.
            continue
        }

        // Now we need to identify IPv4 layer.
        layer = packet.Layer(layers.LayerTypeIPv4)

        ipv4, ok := layer.(*layers.IPv4)
        if !ok {
            // It's not IPv4 traffic.
            continue
        }

        if ipv4.DstIP.IsPrivate() {
            // Do not collect private traffic.
            continue
        }

        if ipv4.Protocol != layers.IPProtocolUDP {
            // Ignore not UDP protocol.
            continue
        }

        err = pcapWriter.WritePacket(packet.Metadata().CaptureInfo, packet.Data())
        if err != nil {
            slog.Error("Could not write a packet to a pcap writer", slog.String("err", err.Error()))

            continue
        }

        slog.Info("Stored packet", slog.Any("packet", packet))

        // Let's collect ONLY 100K bytes, just for example perposes.
        if fileWriter.Len() > 100000 {
            break
        }
    }

    slog.Info("We have successfuly collected bytes", slog.Int("bytes", fileWriter.Len()))
}

여기에서 실행한 후 잘린 출력은 다음과 같습니다.

2024/08/31 13:35:36 INFO Running our applicaiton...
2024/08/31 13:37:48 INFO Stored packet packet="PACKET: 105 bytes, wire length 105 cap length 105 ..."
...
2024/08/31 13:37:48 INFO Stored packet packet="PACKET: 1291 bytes, wire length 1291 cap length 1291 ..."
2024/08/31 13:37:48 INFO We have successfuly collected bytes bytes=101018

이 최소한의 예가 누군가가 Go를 사용하여 이 분야에서 여행을 시작하는 데 도움이 되기를 바랍니다.

후문

일상 업무에서 어떻게 해야 할지 모르는 새로운 요구 사항이 충족되는 경우. 서두르지 말고 주변 사람들에게 물어보고 비공개로 글을 쓰고 스스로 조사해 보세요.

연구와 소통은 모든 문제 해결의 핵심입니다.

---

1. libpcap은 네트워크 트래픽 캡처를 위한 휴대용 C/C++ 라이브러리입니다. ↩

위 내용은 Golang으로 트래픽 캡처의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!