netfilter: xtables: sort extensions alphabetically in Kconfig
[linux-2.6] / net / netfilter / xt_tcpudp.c
1 #include <linux/types.h>
2 #include <linux/module.h>
3 #include <net/ip.h>
4 #include <linux/ipv6.h>
5 #include <net/ipv6.h>
6 #include <net/tcp.h>
7 #include <net/udp.h>
8 #include <linux/netfilter/x_tables.h>
9 #include <linux/netfilter/xt_tcpudp.h>
10 #include <linux/netfilter_ipv4/ip_tables.h>
11 #include <linux/netfilter_ipv6/ip6_tables.h>
12
13 MODULE_DESCRIPTION("Xtables: TCP, UDP and UDP-Lite match");
14 MODULE_LICENSE("GPL");
15 MODULE_ALIAS("xt_tcp");
16 MODULE_ALIAS("xt_udp");
17 MODULE_ALIAS("ipt_udp");
18 MODULE_ALIAS("ipt_tcp");
19 MODULE_ALIAS("ip6t_udp");
20 MODULE_ALIAS("ip6t_tcp");
21
22 #ifdef DEBUG_IP_FIREWALL_USER
23 #define duprintf(format, args...) printk(format , ## args)
24 #else
25 #define duprintf(format, args...)
26 #endif
27
28
29 /* Returns 1 if the port is matched by the range, 0 otherwise */
30 static inline bool
31 port_match(u_int16_t min, u_int16_t max, u_int16_t port, bool invert)
32 {
33         return (port >= min && port <= max) ^ invert;
34 }
35
36 static bool
37 tcp_find_option(u_int8_t option,
38                 const struct sk_buff *skb,
39                 unsigned int protoff,
40                 unsigned int optlen,
41                 bool invert,
42                 bool *hotdrop)
43 {
44         /* tcp.doff is only 4 bits, ie. max 15 * 4 bytes */
45         const u_int8_t *op;
46         u_int8_t _opt[60 - sizeof(struct tcphdr)];
47         unsigned int i;
48
49         duprintf("tcp_match: finding option\n");
50
51         if (!optlen)
52                 return invert;
53
54         /* If we don't have the whole header, drop packet. */
55         op = skb_header_pointer(skb, protoff + sizeof(struct tcphdr),
56                                 optlen, _opt);
57         if (op == NULL) {
58                 *hotdrop = true;
59                 return false;
60         }
61
62         for (i = 0; i < optlen; ) {
63                 if (op[i] == option) return !invert;
64                 if (op[i] < 2) i++;
65                 else i += op[i+1]?:1;
66         }
67
68         return invert;
69 }
70
71 static bool
72 tcp_mt(const struct sk_buff *skb, const struct net_device *in,
73        const struct net_device *out, const struct xt_match *match,
74        const void *matchinfo, int offset, unsigned int protoff, bool *hotdrop)
75 {
76         const struct tcphdr *th;
77         struct tcphdr _tcph;
78         const struct xt_tcp *tcpinfo = matchinfo;
79
80         if (offset) {
81                 /* To quote Alan:
82
83                    Don't allow a fragment of TCP 8 bytes in. Nobody normal
84                    causes this. Its a cracker trying to break in by doing a
85                    flag overwrite to pass the direction checks.
86                 */
87                 if (offset == 1) {
88                         duprintf("Dropping evil TCP offset=1 frag.\n");
89                         *hotdrop = true;
90                 }
91                 /* Must not be a fragment. */
92                 return false;
93         }
94
95 #define FWINVTCP(bool, invflg) ((bool) ^ !!(tcpinfo->invflags & (invflg)))
96
97         th = skb_header_pointer(skb, protoff, sizeof(_tcph), &_tcph);
98         if (th == NULL) {
99                 /* We've been asked to examine this packet, and we
100                    can't.  Hence, no choice but to drop. */
101                 duprintf("Dropping evil TCP offset=0 tinygram.\n");
102                 *hotdrop = true;
103                 return false;
104         }
105
106         if (!port_match(tcpinfo->spts[0], tcpinfo->spts[1],
107                         ntohs(th->source),
108                         !!(tcpinfo->invflags & XT_TCP_INV_SRCPT)))
109                 return false;
110         if (!port_match(tcpinfo->dpts[0], tcpinfo->dpts[1],
111                         ntohs(th->dest),
112                         !!(tcpinfo->invflags & XT_TCP_INV_DSTPT)))
113                 return false;
114         if (!FWINVTCP((((unsigned char *)th)[13] & tcpinfo->flg_mask)
115                       == tcpinfo->flg_cmp,
116                       XT_TCP_INV_FLAGS))
117                 return false;
118         if (tcpinfo->option) {
119                 if (th->doff * 4 < sizeof(_tcph)) {
120                         *hotdrop = true;
121                         return false;
122                 }
123                 if (!tcp_find_option(tcpinfo->option, skb, protoff,
124                                      th->doff*4 - sizeof(_tcph),
125                                      tcpinfo->invflags & XT_TCP_INV_OPTION,
126                                      hotdrop))
127                         return false;
128         }
129         return true;
130 }
131
132 /* Called when user tries to insert an entry of this type. */
133 static bool
134 tcp_mt_check(const char *tablename, const void *info,
135              const struct xt_match *match, void *matchinfo,
136              unsigned int hook_mask)
137 {
138         const struct xt_tcp *tcpinfo = matchinfo;
139
140         /* Must specify no unknown invflags */
141         return !(tcpinfo->invflags & ~XT_TCP_INV_MASK);
142 }
143
144 static bool
145 udp_mt(const struct sk_buff *skb, const struct net_device *in,
146        const struct net_device *out, const struct xt_match *match,
147        const void *matchinfo, int offset, unsigned int protoff, bool *hotdrop)
148 {
149         const struct udphdr *uh;
150         struct udphdr _udph;
151         const struct xt_udp *udpinfo = matchinfo;
152
153         /* Must not be a fragment. */
154         if (offset)
155                 return false;
156
157         uh = skb_header_pointer(skb, protoff, sizeof(_udph), &_udph);
158         if (uh == NULL) {
159                 /* We've been asked to examine this packet, and we
160                    can't.  Hence, no choice but to drop. */
161                 duprintf("Dropping evil UDP tinygram.\n");
162                 *hotdrop = true;
163                 return false;
164         }
165
166         return port_match(udpinfo->spts[0], udpinfo->spts[1],
167                           ntohs(uh->source),
168                           !!(udpinfo->invflags & XT_UDP_INV_SRCPT))
169                 && port_match(udpinfo->dpts[0], udpinfo->dpts[1],
170                               ntohs(uh->dest),
171                               !!(udpinfo->invflags & XT_UDP_INV_DSTPT));
172 }
173
174 /* Called when user tries to insert an entry of this type. */
175 static bool
176 udp_mt_check(const char *tablename, const void *info,
177              const struct xt_match *match, void *matchinfo,
178              unsigned int hook_mask)
179 {
180         const struct xt_udp *udpinfo = matchinfo;
181
182         /* Must specify no unknown invflags */
183         return !(udpinfo->invflags & ~XT_UDP_INV_MASK);
184 }
185
186 static struct xt_match tcpudp_mt_reg[] __read_mostly = {
187         {
188                 .name           = "tcp",
189                 .family         = NFPROTO_IPV4,
190                 .checkentry     = tcp_mt_check,
191                 .match          = tcp_mt,
192                 .matchsize      = sizeof(struct xt_tcp),
193                 .proto          = IPPROTO_TCP,
194                 .me             = THIS_MODULE,
195         },
196         {
197                 .name           = "tcp",
198                 .family         = NFPROTO_IPV6,
199                 .checkentry     = tcp_mt_check,
200                 .match          = tcp_mt,
201                 .matchsize      = sizeof(struct xt_tcp),
202                 .proto          = IPPROTO_TCP,
203                 .me             = THIS_MODULE,
204         },
205         {
206                 .name           = "udp",
207                 .family         = NFPROTO_IPV4,
208                 .checkentry     = udp_mt_check,
209                 .match          = udp_mt,
210                 .matchsize      = sizeof(struct xt_udp),
211                 .proto          = IPPROTO_UDP,
212                 .me             = THIS_MODULE,
213         },
214         {
215                 .name           = "udp",
216                 .family         = NFPROTO_IPV6,
217                 .checkentry     = udp_mt_check,
218                 .match          = udp_mt,
219                 .matchsize      = sizeof(struct xt_udp),
220                 .proto          = IPPROTO_UDP,
221                 .me             = THIS_MODULE,
222         },
223         {
224                 .name           = "udplite",
225                 .family         = NFPROTO_IPV4,
226                 .checkentry     = udp_mt_check,
227                 .match          = udp_mt,
228                 .matchsize      = sizeof(struct xt_udp),
229                 .proto          = IPPROTO_UDPLITE,
230                 .me             = THIS_MODULE,
231         },
232         {
233                 .name           = "udplite",
234                 .family         = NFPROTO_IPV6,
235                 .checkentry     = udp_mt_check,
236                 .match          = udp_mt,
237                 .matchsize      = sizeof(struct xt_udp),
238                 .proto          = IPPROTO_UDPLITE,
239                 .me             = THIS_MODULE,
240         },
241 };
242
243 static int __init tcpudp_mt_init(void)
244 {
245         return xt_register_matches(tcpudp_mt_reg, ARRAY_SIZE(tcpudp_mt_reg));
246 }
247
248 static void __exit tcpudp_mt_exit(void)
249 {
250         xt_unregister_matches(tcpudp_mt_reg, ARRAY_SIZE(tcpudp_mt_reg));
251 }
252
253 module_init(tcpudp_mt_init);
254 module_exit(tcpudp_mt_exit);