分享
 
 
 

Windows中Filter-Hook驱程

王朝system·作者佚名  2006-01-08
窄屏简体版  字體: |||超大  

Windows中Filter-Hook驱动程序

在Windows 2000和Windows XP中,System32\drivers目录下的ipfltdrv.sys是Microsoft提供的ip协议过滤驱动程序。它允许用户注册自己的ip数据报处理函数。在MSDN中有关于这方面内容的简短说明,位于Filter-Hook Driver Reference章节中。这一部分说明文档论述了filter-hook驱程实现的回调函数和该驱程用以注册回调函数的I/O控制码。回调函数是这类驱程的主体部分。操作系统提供的ip过滤驱动程序使用这个过滤钩子来判断ip数据包的处理方式。

所注册的过滤钩子是用PacketFilterExtensionPtr数据类型定义的。由于是使用函数的地址而不是函数的名字注册过滤钩子的入口点,所以可以自由的为过滤钩子函数命名。下面分别说明钩子的数据结构和注册该钩子的I/O控制码。

PacketFilterExtensionPtr

下面是他的定义。

typedef PF_FORWARD_ACTION (*PacketFilterExtensionPtr)(

unsigned char *PacketHeader,

unsigned char *Packet,

unsigned int PacketLength,

unsigned int RecvInterfaceIndex,

unsigned int SendInterfaceIndex,

IPAddr RecvLinkNextHop,

IPAddr SendLinkNextHop

);

该类型就是过滤钩子的回调函数,他决定所有传过来的ip数据包的命运,是继续传递,还是丢掉,或者允许ip过滤驱动程序继续处理。

1. 参数

PacketHeader

指向该数据包的ip头部的指针。Filter-Hook驱动程序可以将其转换为IPHeader结构指针类型。

Packet

Filter-Hook驱动程序接收到的包含数据包信息的缓冲区指针。该缓冲区不包含PacketHeader指针指向的ip协议头。

PacketLength

以字节为单位的Packet缓冲区的长度。该长度不包含ip协议头的大小。

RecvInterfaceIndex

数据包到达的接口适配器的序号。Filter-Hook驱动程序使用该序号访问接收数据包的适配器。

对于发送的数据包,该参数为INVALID_PF_IF_INDEX,并且参数RecvLinkNextHop的值没有意义。

SendInterfaceIndex

数据包发送的接口适配器的序号。如果数据包需要通过该适配器路由,可以通过简单网络协议(SNMP)查询路由表。

对于接收的数据包,该参数为INVALID_PF_IF_INDEX,并且参数SendLinkNextHop的值没有意义。

RecvLinkNextHop

如果接口适配器是一个多点(绑定多个ip地址?)接口,该参数为适配器接收该数据包时的ip地址。否则,该参数为ZERO_PF_IP_ADDR。

SendLinkNextHop

如果接口适配器是一个多点(绑定多个ip地址?)接口,该参数为适配器接发送数据包时的ip地址。否则,该参数为ZERO_PF_IP_ADDR。

2. 返回值

返回PF_FORWARD_ACTION枚举类型的值:

PF_FORWARD

该返回值指示ip过滤驱动程序应该立刻将数据包转发到ip协议栈中。如果该数据包是本机需要的数据包,ip协议将其转发给上层协议处理,如果不是到本机的数据包,则ip将路由该数据包(如果此时路由功能被打开)。

PF_DROP

该返回值指示ip过滤驱动程序将立刻向ip协议栈发出丢弃响应。这时ip协议将丢弃该数据包。

PF_PASS

该返回值指示ip过滤驱动程序处理该数据包,并将结果动作返回到ip协议栈。如果Filter-Hook驱动程序认为不需要处理该数据包,则应该返回该值。

3. 注释

如果Filter-Hook驱动程序返回PF_PASS,ip过滤驱动程序将处理该数据包。在这种情况下,用户态应用程序可以通过Packet Filtering API控制包的过滤动作(iphlpapi.lib)。通过这些API函数可以创建和管理ip数据包的输入输出。每一个ip适配器接口都可以有一个或几个与其相关联的过滤器。过滤器可以包括ip地址,地址掩码,端口号,协议标示符。更多的信息参考Platform SDK。

IP过滤驱动程序可以使用IPHeader结构传递数据包的ip头信息。

4. IPHeader

PacketHeader参数指向的缓冲区通常被定义为IPHeader结构。该结构提供了数据包的细节信息。其定义如下:

typedef struct iphdr {

UCHAR iph_verlen; // Version and length

UCHAR iph_tos; // Type of service

USHORT iph_length; // Total datagram length

USHORT iph_id; // Identification

USHORT iph_offset; // Flags, fragment offset

UCHAR iph_ttl; // Time to live

UCHAR iph_protocol; // Protocol

USHORT iph_xsum; // Header checksum

ULONG iph_src; // Source address

ULONG iph_dest; // Destination address

} iphdr;

该结构的成员的含义参看其后面的注释。在Linux源程序中或者其他讲解TCP/IP协议的书籍中都有详细的说明。

IOCTL_PF_SET_EXTENSION_POINTER

Filter-Hook使用该I/O控制码建立一个IRP,并将其提交给ip过滤驱动程序。通常filter-hook驱动程序使用IoBuildDeviceIoControlRequest函数建立所需的IRP。

该控制码向ip过滤驱动程序注册过滤钩子回调函数,当有数据包发送或者接收时,ip过滤驱动程序就要调用这些回调函数。并且,该控制码也用来从ip过滤驱动程序中清除回调函数。

为了方便对比,给出在IoBuildDeviceIoControlRequest函数的原型:

PIRP IoBuildDeviceIoControlRequest(

IN ULONG IoControlCode,

IN PDEVICE_OBJECT DeviceObject,

IN PVOID InputBuffer OPTIONAL,

IN ULONG InputBufferLength,

OUT PVOID OutputBuffer OPTIONAL,

IN ULONG OutputBufferLength,

IN BOOLEAN InternalDeviceIoControl,

IN PKEVENT Event,

OUT PIO_STATUS_BLOCK IoStatusBlock

);

在这里,使用IoBuildDeviceIoControlRequest函数时,其参数如下:

pIrp=IoBuildDeviceIoControlRequest(

IOCTL_PF_SET_EXTENSION_POINTER,

pTargetDeviceObject,

&HookInfo,sizeof(PF_SET_EXTENSION_HOOK_INFO),

NULL,0,

FALSE,

NULL,

&IoStatusBlock);

其中,pTargetDeviceObject指向ip过滤驱动程序的设备对象;HookInfo为PF_SET_EXTENSION_HOOK_INFO结构,该结构中包含了回调函数的地址。当清除回调函数时,将该结构中的函数指针赋值为NULL即可。

Filter-hook驱动程序通过调用IoBuildDeviceIoControlRequest函数建立IRP,filter-hook驱动程序将所需的参数传入。其中一个为ip过滤驱程的设备对象,filter-hook驱程可以使用IoGetDeviceObjectPointer函数。这时,要将ip过滤驱程的设备对象的名字作为参数传入,还有SYNCHRONIZE,GENERIC_READ和GENERIC_WRITE。这些参数表明这三种访问权限是必需的。如果调用成功,IoGetDeviceObjectPointer返回目标设备对象和文件对象。Ip过滤驱动程序的设备对象的名字需要使用\Device\ipfilterdriver的Unicode字符串。

然后使用IoCallDriver函数提交IRP。

PF_SET_EXTENSION_HOOK_INFO结构的定义如下,其中包含回调函数的指针:

typedef struct _PF_SET_EXTENSION_HOOK_INFO

{

PacketFilterExtensionPtr ExtensionPointer;

} PF_SET_EXTENSION_HOOK_INFO, *PPF_SET_EXTENSION_HOOK_INFO;

成员ExtensionPointer是指向hook回调函数的指针。通过该结构完成向ip过滤驱动程序注册hook函数。如果ExtensionPointer为NULL,则从ip过滤驱动程序中清除回调函数。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有