教程4 7無hook監(jiān)控網(wǎng)絡(luò)訪問

WFP是微軟推出來替代TDIHOOK、NDISHOOK等網(wǎng)絡(luò)通信的方案，WFP的框架非可以做到全局網(wǎng)絡(luò)。由于WFP的范圍太廣，實在難以一言概括，感的朋友可以自行到MSDN上查看微軟對它的概述。本文的目的，是給大家理順WFP的框架，并利用WFP指定進程網(wǎng)絡(luò)，或?qū)χ付↖P地址/端口的。得一個WFP的使用句柄，然后用FwpmTransactionBegin設(shè)置對網(wǎng)絡(luò)通信內(nèi)容的過濾權(quán)限（是只讀還是允許修改），然后用FwpsCalloutRegister、FwpmCalloutAdd、FwpmFildd選 mit確認(rèn)剛才的內(nèi)容，讓剛才添加的回調(diào)函數(shù)開始生效。當(dāng)你不用WFP的時候，就要用 過濾器對象和回調(diào)函數(shù)刪除掉，然后用FwpmEngineClose關(guān)閉WFP（類似于關(guān)閉句柄。的WFP實例進行了最大簡化，并把的回調(diào)功能封裝成了一個函數(shù)。下面一步一步 要的回調(diào)函數(shù)不是1個，而是3個。但只有1個是“事前”WFP能過濾的內(nèi)容很多，你必須選擇一個感的內(nèi)容。這個“感的內(nèi)容”用官話來IPV4協(xié)議，所以“過濾條件標(biāo)志”為FWPM_LAYER_ALE_AUTH_CONNECT_V4（在這個頁面 { status= bInTransaction=FALSE; { status= bInTransaction=FALSE; FWPM_SESSIONsession={0};if(gotoif(gotostatus=if({}status mit(gEngineHandleif(gotoif({if({}{gEngineHandle=}}}NTSTATUSRegisterCalloutForLayeronstGUID*onstGUID*INFWPS_CALLOUT_NOTIFY_FNnotifyFn,OUTUINT32*calloutId,OUTUINT64*){ mFilter={0}; mCallout={0}; Y_DATAmDispData={0}; sCallout.calloutKey=*calloutKey;sCallout.classifyFn=classifyFn;sCallout.flowDeleteFn=flowDeleteNotifyFn;sCallout.notifyFn=notifyFn;if(!NT_SUCCESS(status))goto =TRUE;mDispD=L"WFPTEST"; mCallout.calloutKey=*calloutKey; yData=if(!NT_SUCCESS(status)) ction.type=FWP_ACTION_CALLOUT_TERMINATING; yD=L"WFPTEST"; mFilter.layerKey=*layerKey;mFilter.numFilterConditions=0;mFilter.filterCondition=mFilter_condition;status=FwpmFil if(!NT_SUCCESS(status))if({if(bCallout{}}}(IN(INOUTvoid*onstFWPS_FILTER*filter,INUINT64){DWORD 的IP地址/ ////classifyOut->rights&=//classifyOut->flags|=//}}{if(gEngineHandle!=0{//清空FilterId //清空CalloutIdgEngineHandle=0;}return}無論怎么看，WFP都是一個非常完美的模型，不過在這里說一下WFP一個非常坑WFP的回調(diào)函數(shù)里，IRQL02。這意味著如果你異步處理的模型，但一直無法使用成功，大家有如何實現(xiàn)。關(guān)于WFP的使用方法簡介就到此結(jié)束了，但說一個跟有關(guān)也跟WFP有關(guān)的在這個所謂的“民族軟件公司”混出點名堂。接到的第一個任務(wù)，就是設(shè)計一個WFP防火墻的模型。因為這個IRQL的問題遲遲解決不了，讓 撞HR和直屬的事情（都是和工作無關(guān)的小事情。這些被 頂撞的中層對新員