TUN设备文件描述符的调试符号信息

凌晨三点十七分，我的屏幕还亮着。交易所的K线图上，BTC/USDT的曲线像一条垂死的蛇，在MA20附近反复抽搐。我盯着那个数字——67,312.44——它比两个小时前又跌了三个点。合约账户的保证金率已经降到1.8%，再有一次插针，我就会被强制平仓。

我骂了一句，把咖啡杯重重砸在桌上。就在这时，我的手机震了。

是阿哲。电话那头他的声音很急：“老陈，你跑的那个套利机器人，是不是用了TUN设备？”

“对啊，虚拟网卡，抓包用的。”我揉着太阳穴，“怎么了？”

“出事了。我照着你的架构写了个监控程序，挂在VPS上跑，结果今天早上起来，所有通过TUN设备的流量全被截断了。系统日志里全是tun0: dropping packet，而且——最诡异的是，/proc/net/dev里tun0的字节数还在涨，但实际收发的包全是垃圾数据。”

我一下子清醒了。“你等一下，我看看。”

我远程连上他的服务器，ip link show tun0显示状态正常，ifconfig tun0也显示UP。但当我用tcpdump -i tun0抓包时，屏幕上滚动的全是长度为零的UDP包，源端口是随机的高位端口，目的端口全是31337。

“这不是正常的网络流量。”我皱眉，“这是有人往你的TUN设备里塞垃圾数据。你检查过文件描述符吗？”

阿哲沉默了两秒：“文件描述符？你是说……调试符号？”

“对。TUN设备本质上是一个文件，/dev/net/tun，你打开它，调用ioctl(TUNSETIFF)，它就会变成一个网络接口。但这个文件描述符背后，内核会给你分配一个struct tun_file结构体。如果这个结构体的调试符号被污染了——比如有人通过/proc或者sysfs往里面写入了恶意的调试信息——那你的TUN设备就会变成一台只进不出的黑洞。”

我一边说，一边敲键盘，打开自己的笔记本，调出之前写的那个套利机器人的源码。那个机器人之所以用TUN设备，是因为它需要同时监控多个交易所的WebSocket行情流，并且要实时计算跨所价差，然后通过一个虚拟网卡把订单路由到不同的API端点。TUN设备的好处是，你可以直接用read()和write()来收发原始IP包，完全绕开TCP/IP协议栈，延迟能低到微秒级。

“你用的是tun_alloc()那个函数吧？”阿哲问。

“对，标准的Linux TUN驱动。但问题不在这里。问题在于，当你拿到那个文件描述符之后，你有没有检查过它的flags？比如O_NONBLOCK？还有，你有没有用fcntl()去设置过F_SETFL？”

“我设了非阻塞啊，不然怎么多路复用？”

“那你有没有检查过F_GETFL返回的值？如果里面多了个O_ASYNC标志，那就有问题了。O_ASYNC会让内核在每次有数据可读时，向进程发送SIGIO信号。如果这个信号被某个恶意模块截获，它就能在信号处理函数里偷偷修改你的tun_file结构体中的sk_socket指针，把数据包重定向到另一个地方。”

阿哲倒吸一口凉气：“你是说……有人通过调试符号接口，直接篡改了内核对象？”

“不是篡改内核对象，是篡改用户态能看到的那部分调试信息。”我解释，“Linux内核有一个CONFIG_DEBUG_FS选项，开启之后，/sys/kernel/debug目录下会暴露很多内部结构。比如，对于TUN设备，你可以通过/sys/kernel/debug/tun/tun0这个节点，直接读取struct tun_file的成员变量。如果这个节点的权限设置不当，任何用户都能往里面写入数据——比如，把tun_file->socket.sk->sk_receive_queue的链表头指针改成一个你控制的地址。”

“我操。”阿哲的声音有点发抖，“那岂不是说，我的套利策略全被对方看光了？”

“不止看光。如果对方改动了sk_receive_queue，那你的TUN设备收到的所有数据包，都会先经过一个过滤器。这个过滤器可以实时提取你的订单信息，然后伪造一个更快的订单，插到你的前面。这就是为什么你感觉自己的成交率突然下降了——不是市场波动，是有人在抢跑你的交易。”

我点开自己的终端，输入cat /sys/kernel/debug/tun/tun0，屏幕上显示出一串十六进制地址。我仔细对比了一下，发现tun_file->socket.sk的地址和我之前记录的不一样。虽然差异只有最后三位，但足以让整个数据路径偏移。

“我找到问题了。”我说，“你的TUN设备文件描述符的调试符号信息被篡改了。具体来说，tun_file结构体中的socket指针被重新绑定到了一个不同的struct sock对象上。这个新对象可能是攻击者伪造的，它的sk_data_ready回调函数指向了攻击者的内核模块代码。”

“那怎么办？我总不能把内核模块卸载了吧？我VPS上还跑着别的服务呢。”

“不用卸载。你只需要重新打开一次TUN设备，重置文件描述符。但注意，你不能直接close()再open()，因为攻击者可能已经在/sys/kernel/debug/tun/下创建了一个持久化的符号链接，指向他们的恶意对象。你得先echo 1 > /sys/kernel/debug/tun/reset，强制内核清空所有TUN设备的调试状态，然后再重新创建接口。”

我一边说，一边在阿哲的服务器上执行了那条命令。几秒钟后，tcpdump里的垃圾包消失了，正常的行情数据流重新开始滚动。

“好了。”我松了一口气，“但你要记住，这次事件暴露了一个更严重的问题：在虚拟币交易中，任何依赖底层网络设备的高频策略，都必须对调试符号信息进行完整性校验。你可以在每次启动机器人时，计算一下/sys/kernel/debug/tun/tun0这个文件的哈希值，然后和上一次的比对。如果变了，就说明有异常。”

阿哲沉默了一会儿，然后说：“老陈，你说……这次攻击会不会和最近那个‘TUNGate’漏洞有关？我听说有些矿池的支付节点也用了TUN设备，结果被劫持了算力。”

“很有可能。”我关掉终端，望着窗外渐亮的天色，“虚拟币的世界里，每一微秒的延迟都是真金白银。而TUN设备，作为用户态和内核态之间最直接的网络通道，它的每一个调试符号，都可能成为攻击者撬动资金的杠杆。你永远不知道，在你read()那个文件描述符的时候，数据是从真正的网卡来的，还是从一个精心构造的蜜罐里流出来的。”

我点开交易所的界面，BTC的价格已经反弹到了67,890。我的保证金率回到了3.2%。但我心里清楚，这场战斗远未结束。只要TUN设备还在，只要调试符号还能被篡改，就会有人试图从那个虚拟网卡的缝隙里，偷走你的每一分利润。

我拿起咖啡杯，喝了一口已经凉透的咖啡。然后打开了一个新的终端窗口，开始写一个脚本——一个能实时监控/sys/kernel/debug/tun/目录下所有文件哈希值的守护进程。我知道，这不会是最后一次有人打TUN设备的主意。但至少，下一次，我能比攻击者早一步发现。