# 其中10.42.20.210是windows能访问到的地址，且这个系统上的445端口不能被占用（就是没有启动smb server）
# 192.168.53.209是虚拟机的ip，注意换成localhost用默认走ipv6
ssh -R 10.42.20.210:445:192.168.53.209:445 root@10.42.20.210

# windows不区分大小写，TEST和test都可以
\\10.42.20.210\test

# 查看现有连接
net use
# 删除特定连接
net use \\10.42.20.210\IPC$ /delete
net use \\10.42.20.210\test /delete
# 删除所有连接，不建议用
net use * /delete

# /tmp/s_test是smb server导出的目录
echo something > /tmp/s_test/file # 在server端执行

struct smb2_change_notify_req {
  struct smb2_hdr hdr;
  // 客户端 必须 将该字段设置为 32，表示请求结构体的大小（不包含 SMB2 头）
  __le16  StructureSize;
  // 指示该操作必须如何处理的标志。此字段必须为 0，或以下取值之一： SMB2_WATCH_TREE
  __le16  Flags;
  // 服务器在 SMB2 CHANGE_NOTIFY Response（见章节 2.2.36）中允许返回的最大字节数。
  __le32  OutputBufferLength;
  struct {
    __u64   PersistentFileId; /* 不透明字节序 */
    __u64   VolatileFileId; /* 不透明字节序 */
  } fid; // 用于监控变化的目录的 SMB2_FILEID 标识符
  // 指定要监控的变更类型。可以选择多个触发条件。
  // 在这种情况下，只要满足任意一个条件，客户端就会收到变更通知，并且 CHANGE_NOTIFY 操作会完成。
  // 该字段 必须（MUST） 使用以下值来构造：
  // FILE_NOTIFY_CHANGE_FILE_NAME ... FILE_NOTIFY_CHANGE_STREAM_WRITE
  __le32  CompletionFilter;
  // 此字段 不得使用（MUST NOT），并且 必须保留（MUST be reserved）。
  // 客户端 必须（MUST） 将该字段设置为 0，服务器在接收时 必须（MUST） 忽略该字段。
  __u32   Reserved;
} __packed;

// Flags
SMB2_WATCH_TREE // 该请求必须监控由 FileId 指定的目录下的任何文件或子目录的变更。

// CompletionFilter
FILE_NOTIFY_CHANGE_FILE_NAME    // 如果文件名发生变化，客户端会收到通知
FILE_NOTIFY_CHANGE_DIR_NAME     // 如果目录名发生变化，客户端会收到通知
FILE_NOTIFY_CHANGE_ATTRIBUTES   // 如果文件的属性发生变化，客户端会收到通知。可能的文件属性值在 [MS-FSCC] 第 2.6 节中进行了说明。
FILE_NOTIFY_CHANGE_SIZE         // 如果文件的大小发生变化，客户端会收到通知。
FILE_NOTIFY_CHANGE_LAST_WRITE   // 如果文件的最后写入时间发生变化，客户端会收到通知。
FILE_NOTIFY_CHANGE_LAST_ACCESS  // 如果文件的最后访问时间发生变化，客户端会收到通知。
FILE_NOTIFY_CHANGE_CREATION     // 如果文件的创建时间发生变化，客户端会收到通知。
FILE_NOTIFY_CHANGE_EA           // 如果文件的扩展属性（EA）发生变化，客户端会收到通知。
FILE_NOTIFY_CHANGE_SECURITY     // 如果文件的访问控制列表（ACL）设置发生变化，客户端会收到通知。
FILE_NOTIFY_CHANGE_STREAM_NAME  // 如果向文件中添加了命名数据流，客户端会收到通知。
FILE_NOTIFY_CHANGE_STREAM_SIZE  // 如果命名数据流的大小发生变化，客户端会收到通知。
FILE_NOTIFY_CHANGE_STREAM_WRITE // 如果命名数据流被修改，客户端会收到通知。

struct {
  // 当连接断开后重新连接时，该文件句柄依然保持持久存在，如 3.3.5.9.7 节所述。
  // 服务器 必须（MUST） 在 SMB2 CREATE Response（见 2.2.14 节）中返回该文件句柄。
  __u64   PersistentFileId;
  // 当连接断开后重新连接时，该文件句柄可能会发生变化，如 3.3.5.9.7 节所述。
  // 服务器 必须（MUST） 在 SMB2 CREATE Response（见 2.2.14 节）中返回该文件句柄。
  // 此值 不得（MUST NOT） 发生变化，除非执行了重新连接操作。此值在同一会话范围内必须唯一，用于区分所有易失性句柄。
  __u64   VolatileFileId;
} fid; // 用于监控变化的目录的 SMB2_FILEID 标识符

struct smb2_change_notify_rsp {
  struct smb2_hdr hdr;
  // 服务器 必须 将该字段设置为 9，以表示请求结构体的大小（不包括头部）。
  // 无论实际发送的请求中 Buffer[] 的长度是多少，服务器 都必须 将该字段设置为该值。
  __le16  StructureSize;
  // 从 SMB2 头部起始位置到返回的更改信息的偏移量（以字节为单位）
  __le16  OutputBufferOffset;
  // 返回的更改信息的长度（以字节为单位）
  __le32  OutputBufferLength;
  // 一个可变长度的缓冲区，包含响应中返回的更改信息，其内容由 OutputBufferOffset 和 OutputBufferLength 字段描述。
  // 该字段是一个 FILE_NOTIFY_INFORMATION 结构体数组，如 [MS-FSCC] 第 2.7.1 节所指定。
  __u8    Buffer[];
} __packed;

/* response contains array of the following structures */
struct file_notify_information {
  // 该字段表示从本结构体起始位置到下一个 FILE_NOTIFY_INFORMATION 结构体的偏移量（以字节为单位）。
  // 如果不存在后续结构体，则 NextEntryOffset 字段 必须 为 0。
  // NextEntryOffset 必须 始终是 4 的整数倍。FileName 数组 必须 填充至从结构体起始位置算起的下一个 4 字节对齐边界。
  __le32 NextEntryOffset;
  // 文件上发生的更改。该字段 必须 包含以下值之一。FILE_ACTION_ADDED ... FILE_ACTION_TUNNELLED_ID_COLLISION
  // 如果两个或更多文件被重命名，则每个文件重命名对应的 FILE_NOTIFY_INFORMATION 条目 必须在此响应中连续出现，
  // 以便客户端能够正确对应旧名称和新名称。
  __le32 Action;
  // FileName 字段中文件名的长度（以字节为单位）。
  __le32 FileNameLength;
  // 一个包含已更改文件名称的 Unicode 字符串。
  __u8  FileName[];
} __packed;

// 文件被添加，FileName 包含新文件名。仅当重命名操作改变了文件所在目录时才会发送此通知。
// 客户端还将收到一个 FILE_ACTION_REMOVED 通知。如果文件在同一目录内被重命名，则不会收到此通知。
FILE_ACTION_ADDED
// 文件被删除，FileName 包含旧文件名。仅当重命名操作改变了文件所在目录时才会发送此通知。
// 客户端还将收到一个 FILE_ACTION_ADDED 通知。如果文件在同一目录内被重命名，则不会收到此通知。
FILE_ACTION_REMOVED
// 文件被修改。可以是文件数据或属性的更改。
FILE_ACTION_MODIFIED
// 文件被重命名，FileName 包含旧文件名。仅当重命名操作未改变文件所在目录时才会发送此通知。
// 客户端还将收到一个 FILE_ACTION_RENAMED_NEW_NAME 通知。如果文件被重命名到不同目录，则不会收到此通知。
FILE_ACTION_RENAMED_OLD_NAME
// 文件被重命名，FileName 包含新文件名。仅当重命名操作未改变文件所在目录时才会发送此通知。
// 客户端还将收到一个 FILE_ACTION_RENAMED_OLD_NAME 通知。如果文件被重命名到不同目录，则不会收到此通知。
FILE_ACTION_RENAMED_NEW_NAME
// 文件被添加到命名流中。
FILE_ACTION_ADDED_STREAM
// 文件从命名流中被移除。
FILE_ACTION_REMOVED_STREAM
// 文件被修改。可以是文件数据或属性的更改。
FILE_ACTION_MODIFIED_STREAM
// 由于所引用的文件被删除，对象 ID 被移除。
// 仅当被监控的目录是特殊目录 \$Extend\$ObjId:$O:$INDEX_ALLOCATION 时才会发送此通知。
FILE_ACTION_REMOVED_BY_DELETE
// 尝试将对象 ID 信息“隧道”到正在创建或重命名的文件失败，因为该对象 ID 已被同一卷上的其他文件使用。
// 仅当被监控的目录是特殊目录 \$Extend\$ObjId:$O:$INDEX_ALLOCATION 时才会发送此通知。
FILE_ACTION_ID_NOT_TUNNELLED
// 尝试将对象 ID 信息“隧道”到正在重命名的文件失败，因为该文件已存在对象 ID。
// 仅当被监控的目录是特殊目录 \$Extend\$ObjId:$O:$INDEX_ALLOCATION 时才会发送此通知。
FILE_ACTION_TUNNELLED_ID_COLLISION

struct smb2_create_req {
  struct smb2_hdr hdr;
  __le16 StructureSize;   /* Must be 57 */
  __u8   SecurityFlags;
  __u8   RequestedOplockLevel;
  __le32 ImpersonationLevel;
  __le64 SmbCreateFlags;
  __le64 Reserved;
  __le32 DesiredAccess;
  __le32 FileAttributes;
  __le32 ShareAccess;
  __le32 CreateDisposition;
  __le32 CreateOptions;
  __le16 NameOffset;
  __le16 NameLength;
  __le32 CreateContextsOffset;
  __le32 CreateContextsLength;
  __u8   Buffer[];
} __packed;

tcpdump --interface=any -w smb-server.pcap