Windows中Filter-Hook驱动程序

1、Windows 中 Filter-Hook 驱动程序在 Windows2000 和 Windows XP 中，System32drivers 目录下的 ipfltdrv.sys 是Microsoft 提供的ip协议过滤驱动程序。它允许用户注册自己的ip数据报处理函数。在MSDN中有关于这方面内容的简短说明，位于Filter-Hook Driver Referenee 章节中。这一部分说明文档论述了filter-hook驱程实现的回调函数和该驱程用以注册回调函数的I/O控制码。回调函数是这类驱程的主体部分。操作系统提供的ip过滤驱动程序使用这个过滤钩子来判断ip数据包的处理方式。所注册的过滤钩子

2、是用PacketFilterExte nsio nPtr数据类型定义的。由于是使用函数的地址而不是函数的名字注册过滤钩子的入口点，所以可以自由的为过滤钩子函数命名。下面分别说明钩子的数据结构和注册该钩子的I/O控制码。PacketFilterExte nsio nPtr下面是他的定义。typedef PF_FORWARD_ACTION (*PacketFilterExte nsio nPtr)(un sig ned char*PacketHeader,un sig ned char*Packet,un sig ned intPacketLe ngth.un sig ned intRecvI n

3、terfacel ndex,un sig ned intSen dI nterfacel ndex,IPAddrRecvLi nkNextHop,IPAddrSen dLi nkNextHop);ip数据包的命运，是继续传递,该类型就是过滤钩子的回调函数，他决定所有传过来的还是丢掉，或者允许ip过滤驱动程序继续处理。1. 参数PacketHeader指向该数据包的ip头部的指针。Filter-Hook 驱动程序可以将其转换为IPHeader结构指针类型。PacketFilter-Hook驱动程序接收到的包含数据包信息的缓冲区指针。该缓冲区不包含PacketHeader 指针指向的ip协议头。P

4、acketLe ngth以字节为单位的 Packet缓冲区的长度。该长度不包含ip协议头的大小。Recvln terface In dex数据包到达的接口适配器的序号。Filter-Hook驱动程序使用该序号访问接收数据包的适配器。对于发送的数据包，该参数为INVALID_PF_IF_INDEX，并且参数 RecvLi nkNextHop的值没有意义。Sendin terface In dex数据包发送的接口适配器的序号。如果数据包需要通过该适配器路由，可以通过简单网 络协议（SNMP ）查询路由表。对于接收的数据包，该参数为INVALID_PF_IF_INDEX，并且参数 Se ndLi n

5、kNextHop的值没有意义。RecvLi nkNextHop如果接口适配器是一个多点（绑定多个ip地址？）接口，该参数为适配器接收该数据包时的ip地址。否则，该参数为ZERO_PF_IP_ADDR。Se ndLi nkNextHop如果接口适配器是一个多点（绑定多个ip地址？）接口，该参数为适配器接发送数据包时的ip地址。否则，该参数为ZERO_PF_IP_ADDR。2. 返回值返回PF_FORWARD_ACTION 枚举类型的值:PF_FORWARD该返回值指示ip过滤驱动程序应该立刻将数据包转发到ip协议栈中。如果该数据包是本机需要的数据包，ip协议将其转发给上层协议处理，如果不是到本机

6、的数据包，则ip将路由该数据包(如果此时路由功能被打开)。PF_DROP该返回值指示ip过滤驱动程序将立刻向ip协议栈发出丢弃响应。 这时ip协议将丢弃该 数据包。PF_PASS该返回值指示ip过滤驱动程序处理该数据包，并将结果动作返回到ip协议栈。如果Filter-Hook 驱动程序认为不需要处理该数据包，则应该返回该值。3. 注释如果Filter-Hook 驱动程序返回PF_PASS，ip过滤驱动程序将处理该数据包。在这种情况下，用户态应用程序可以通过 Packet Filteri ng API控制包的过滤动作(iphlpapi.lib )。通过这些API函数可以创建和管理ip数据包的输入

7、输出。每一个ip适配器接口都可以有一 个或几个与其相关联的过滤器。过滤器可以包括ip地址，地址掩码，端口号，协议标示符。更多的信息参考 Platform SDK 。IP过滤驱动程序可以使用IPHeader结构传递数据包的ip4. IPHeaderPacketHeader 参数指向的缓冲区通常被定义为IPHeader的细节信息。其定义如下：头信息。结构。该结构提供了数据包UCHARiph_verle n;/ Version and len gthUCHAR iph_tos;/ Type of serviceUSHORTiph_le ngth;/ Total datagram len gthUSH

8、ORTiphd;/ Ide ntificati onUSHORT iph_offset;/ Flags, fragme nt offsetUCHAR iph_ttl;/ Time to liveUCHAR iph_protocol;/ Protocoltypedef struct iphdr USHORT iph_xsum;/ Header checksumULONG iph_src; / Source addressULONG iph_dest;/ Desti nation address iphdr;该结构的成员的含义参看其后面的注释。在Linux源程序中或者其他讲解TCP/IP协议的书籍

9、中都有详细的说明。IOCTL_PF_SET_EXTENSION_POINTERFilter-Hook 使用该I/O控制码建立一个IRP,并将其提交给ip过滤驱动程序。通常 filter-hook 驱动程序使用 loBuildDeviceloCo ntrolRequest函数建立所需的 IRP。该控制码向ip过滤驱动程序注册过滤钩子回调函数，当有数据包发送或者接收时，ip过滤驱动程序就要调用这些回调函数。并且，该控制码也用来从ip过滤驱动程序中清除回调函数。函数的原型:为了方便对比，给出在loBuildDeviceloCo ntrolRequestPIRP loBuildDeviceloCo n

10、trolRequest(IN ULONG loCo ntrolCode,IN PDEVICE_OBJECT DeviceObject,IN PVOID In putBuffer OPTIONAL,IN ULONG In putBufferLe ngth,OUT PVOID OutputBuffer OPTIONAL,IN ULONG OutputBufferLe ngth,IN BOOLEAN In ternalDeviceloCo ntrol,IN PKEVENT Event,OUT PIO_STATUS_BLOCK loStatusBlock);在这里，使用loBuildDeviceloC

11、o ntrolRequest函数时，其参数如下:plrp=loBuildDeviceloC on trolRequest(IOCTL_PF_SET_EXTENSION_POINTER, pT argetDeviceObject,&H ookl nfo,sizeof(PF_SET_EXTENSION_HOOK_INFO),NULL,0,FALSE,NULL,&IoStatusBlock);Hookl nfo为当清除回调函其中，pTargetDeviceObject 指向ip过滤驱动程序的设备对象;PF_SET_EXTENSION_HOOK_INFO 结构，该结构中包含了回调函数的

12、地址。数时，将该结构中的函数指针赋值为NULL即可。Filter-hook驱动程序通过调用loBuildDeviceloControlRequest函数建立 IRP，filter-hook驱动程序将所需的参数传入。其中一个为ip过滤驱程的设备对象，filter-hook驱程可以使用loGetDeviceObjectPointer函数。这时，要将 ip过滤驱程的设备对象的名字作为参数传入，还有SYNCHRONIZE ，GENERIC_READ 和GENERIC_WRITE。这些参数表明这三种访问权限是必需的。如果调用成功，IoGetDeviceObjectPoi nter返回目标设备对象和文件对象。Ip过滤驱动程序的设备对象的名字需要使用Deviceipfilterdriver 的Uni code 字符串。然后使用loCallDriver函数提交IRP。PF_SET_EXTENSION_HOOK_INFO结构的定义如下，其中包含回调函数的指针：typedef struct _PF_SET_EXTENSION_HOOK_INFOPacketF