如何设置传出流量的邪恶位

Question

因此，对于我正在编写的安全相关应用程序，我实际上想使用 RFC3514（“邪恶位”）来确定每个数据包级别的网络中哪些流量是邪恶的或不是邪恶的。这用作辅助机器学习引擎的训练数据，因此应用程序必须事先知道哪些数据包是邪恶的，哪些不是。

这应该相当简单，只是设置一个 IP 层位。我尝试过使用 iptables 或 libpcap 来执行此操作，但要么它们没有该功能，要么我未能发现它。

能够为机器中的所有流量设置它就很好，但对输出的内容进行过滤会更好。 （比如能够指定设置哪些更高层协议，等等...）

我也在使用 Ubuntu。所以Linux解决方案是首选。但除此之外，使用什么方法来实现这一点并不重要。 Bash 脚本、c/c++ 应用程序、设置一些 sysctl 等等。

Answer 1

显然这实际上是为 FreeBSD 实现的 - 也许你可以看看他们的代码？

http://www.cs.columbia.edu/~smb/3514.html

Answer 2

您有两种选择：

一种是使用 https://code.google.com/p/evilbitchanger/ ，基于 scapy 的脚本可以为您进行 Evil Bit 设置。

另一种是使用原始 scapy 脚本来制作带有 Evil 位的数据包。如文档所述，Scapy 能够非常轻松地设置 Evil Bit 标志。

>>> t=TCP()
>>> t.flags="SA"
>>> t.flags 
18
>>> t
<TCP flags=SA |>
>>> t.flags=23
>>> t
<TCP flags=FSRA |>
>>> i=IP(flags="DF+MF")
>>> i.flags
3
>>> i
<IP flags=MF+DF |>
>>> i.flags=6
>>> i
<IP flags=DF+evil |>

希望这有帮助。