关于 syscall ioctl 和 hostID 操作的问题

Question

我一直在寻找一种方法来处理我的MAC 地址并对其进行修改，我偶然发现了以下可用的 ANSI-C 代码 sn-p，但我不确定如何操作。在sn-p里面，我为我想问的问题加了分。

/*
 * Spoof a MAC address with LD_PRELOAD
 *
 * If environment variable $MAC_ADDRESS is set in the form "01:02:03:04:05:06"
 * then use that value, otherwise use the hardcoded 'mac_address' in this file.
 *
 * Bugs: This currently spoofs MAC addresses for *all* interfaces.
 * It would be better to watch calls to socket() for the interfaces
 * you want and then only spoof ioctl calls to that file descriptor.
 */
#include <dlfcn.h>
#include <stdlib.h>
#include <stdio.h>

#define SIOCGIFHWADDR 0x8927

static unsigned char mac_address[6] = {0x01, 0x02, 0x03, 0x04, 0x05, 0x06};

int
ioctl(int d, int request, unsigned char *argp)
{
    static void *handle = NULL;
    static int (*orig_ioctl)(int, int, char*);
    int ret;
    char *p;

    // If this var isn't set, use the hardcoded address above
    p=getenv("MAC_ADDRESS");

    if (handle == NULL) {
        char *error;
        handle = dlopen("/lib/libc.so.6", RTLD_LAZY);
        if (!handle) {
            fputs(dlerror(), stderr);
            exit(EXIT_FAILURE);
        }
        orig_ioctl = dlsym(handle, "ioctl");
        if ((error = dlerror()) != NULL) {
            fprintf(stderr, "%s\n", error);
            exit(EXIT_FAILURE);
        }
    }
    
    ret = orig_ioctl(d, request, argp);
    
    if (request == SIOCGIFHWADDR) {
        unsigned char *ptr = argp + 18; // [1] what is the +18 purpose?

        int i;
        for (i=0; i < 6; i++) {
            if (!p) {
                ptr[i] = mac_address[i];
                continue;
            }
            int val = 0;
            if (p[0]>='0' && p[0]<='9') val |= (p[0]-'0')<<4;
            else if (p[0]>='a' && p[0]<='f') val |= (p[0]-'a'+10)<<4;
            else if (p[0]>='A' && p[0]<='F') val |= (p[0]-'A'+10)<<4;
            else break;
            if (p[1]>='0' && p[1]<='9') val |= p[1]-'0';
            else if (p[1]>='a' && p[1]<='f') val |= p[1]-'a'+10;
            else if (p[1]>='A' && p[1]<='F') val |= p[1]-'A'+10;
            else break;
            if (p[2]!=':' && p[2]!='\0') break;
            ptr[i] = val;
            p+=3;
        }
    }
    return ret; 
}

那么，我的第一个问题[1]： 在声明unsigned char *ptr = argp + 18; 中，“添加”的目的是什么？我们如何得出这个数字？例如，在查看strace ifconfig 之后，我可以看到使用以下参数调用 ioctl：

ioctl(5, SIOCGIFHWADDR, {ifr_name="eth0", ifr_hwaddr={sa_family=ARPHRD_ETHER, sa_data=00:15:5d:2f:7f:86}}) = 0

其中5 是文件描述符，SIOCGIFHWADDR 是对应于获取/设置硬件地址的标志，其余的是argp。但是，我们如何准确地迭代这个struct 的数据？

在获取.so 文件并执行以下操作后，可以测试代码的功能，例如：

export LD_PRELOAD="./hostid-spoof.so" # the compiled lib
export MAC_ADDRESS="11:22:33:44:55:66"
ifconfig

那么网络接口的mac地址确实改变了。但这具体是如何生效的呢？

Answer 1

MAC 地址实际上并没有改变；相反，这会将虚假地址返回给尝试检索地址的本地进程，例如 ifconfig。目前尚不清楚为什么这会很有价值。电线上进出的东西不会受到影响。

LD_PRELOAD 用于从标准 C 库中“挂钩”ioctl 函数。见What is the LD_PRELOAD trick?。调用首先链接到真正的ioctl 函数。如果命令是SIOCGIFHWADDR，那么我们就会弄乱返回的数据。 argp 参数指向一个struct ifreq；请参阅netdevice(7) man page（适用于 Linux，或您自己的操作系统上的等价物）。代码的作者大概查看了此操作系统上struct ifreq 的二进制布局，以确定 MAC 地址位于结构的第 18 字节开始，然后将所需的假地址插入从该位置开始的 6 个字节中，以一种有点笨拙的方式将十六进制转换为二进制。

---

要查看 18 的来源，这是我在系统上所做的：

• 如上面手册页所述，struct ifreq 在<net/if.h> 中定义为（省略不相关成员）：

struct ifreq {
    char ifr_name[IFNAMSIZ]; /* Interface name */
    union {
        // ...
        struct sockaddr ifr_hwaddr;
        // ...
    };
};

<net/if.h> 将IFNAMSIZ 定义为IF_NAMESIZE，定义为16。所以那里有16 个字节。接下来，struct sockaddr 在<sys/socket.h> 中定义，或者更确切地说在<bits/socket.h> 中定义，后者包括：

struct sockaddr
  {
    __SOCKADDR_COMMON (sa_);    /* Common data: address family and length.  */
    char sa_data[14];           /* Address data.  */
  };

__SOCKADDR_COMMON 宏在<bits/sockaddr.h> 中定义为：

#define __SOCKADDR_COMMON(sa_prefix) \
  sa_family_t sa_prefix##family

所以它扩展到sa_family_t sa_family;。就在上面<bits/sockaddr.h> 我们有

typedef unsigned short int sa_family_t;

现在unsigned short int 在我的系统上是 16 位类型，所以是 2 个字节。 sa_data 成员将在此之后立即启动，因为 char 数组不需要任何填充。因此 16 + 2 = 18。

另一种方法是编写一个简单的程序，打印出offsetof(struct ifreq, ifr_hwaddr) + offsetof(struct sockaddr, sa_data) 的值。这也会在我的系统上打印 18。

---

如果您想实际更改接口的硬件 MAC 地址，则更多的是系统管理问题而不是编程问题；在http://superuser.com 或适合您操作系统的网站上询问。