如何在linux内核中禁用连接跟踪协议解析？

Question

安全研究员Jacob 建议，以避免linux内核中某些与执行协议解析(如fdp、sip等)的连接相关的代码路径。就在内核里为了硬化的目的。

如何在linux内核中禁用连接跟踪协议解析？

Answer 1

有几种方法可以设置模块参数，包括暂时性和持久的。前面的答案仅提供了一个临时更改，如果模块已经加载，则该更改将无法工作。

持久化更改

更改将在模块加载后立即生效，无论是手动完成还是在引导时自动完成。如果模块已经加载，您必须重新启动，或者加载并卸载它，如果它有不可移动的依赖项，这可能是可能的，也可能是不可能的。为此，创建一个文件(如/etc/modprobe.d/no_conntrack_helper.conf )，其内容如下：

options nf_conntrack nf_conntrack_helper=0

临时更改(调制解调器)

这需要在运行命令之前卸载模块。当模块卸载或系统重新启动时，更改将消失。在加载模块时，可以通过将参数作为参数传递给modprobe实用程序来更改特定参数。以根用户身份加载模块：

modprobe nf_conntrack nf_conntrack_helper=0

临时更改(sysfs)

有些模块即使在加载模块之后也可以修改它们的参数。这可以通过写入sysfs中的一个特殊文件来完成。我不知道您想要更改的特定参数是否可以在运行时进行修改，但如果可以，则希望以root方式运行以下命令：

echo 0 > /sys/module/nf_conntrack/parameters/nf_conntrack_helper

Answer 2

你可以禁用模块。

modprobe nf_conntrack nf_conntrack_helper=0

有关在不完全禁用模块的情况下保护帮助程序的更多信息，可以在这里找到https://home.regit.org/netfilter-en/secure-use-of-helpers/。