基于NDIS Hook的网络数据包拦截和发送技术研究.pdfVIP

基于 NDISHook的 网络数据包拦截和发送技术研究 李智鹏 ，李舟军，忽朝俭，龚 广 (北京航空航天大学 计算机学院 ，北京 100191) 摘 要：结合实际项 目经验，主要介绍了目前个人防火墙最为广泛使用的技术——NDJsHook技术，重点探讨 了如何使用NDIS Hook技术在NDIS层实现数据 包的拦截与发送。 关键词：Windows驱动程序 ；NDIS；hook；数据包拦截；数据包发送 Research Technology ofNetwork Packet Intercepting and Sending Based on NDlS Hook LIZhi-peng，LIZhou—jun，HUChao--jian，GONG Guang (SchoolofComputer,Beh／angUnl~ersity,五 100101。Chn／a) Abstract：Thispaperresearcheson resultof experiment．Itmainly introducestheNDIShook technology which iswidely used inpersonalfirewalIin recentlyyears．Wefocusonpacketssending andreceiving onNDIS leve1withNDIShook technology． Key words：Windowsdriver；NDIS；hook；packet intercept；packet sending． 1引言 而随WindowsXP和 WindowsServer2003一起发行的 随着计算机技术的发展，网络信息系统已渗透到社会 版本是 NDIS5．1。 生活的各个领域 ，全球信息化已成为人类发展的大趋势。 2·’ 随之而来 的基于互联 网的网络攻击和安全防护技术已 日益 N 引起各国的高度重视 ，每年由网络安全问题而导致的经济 DrivNerD曼：。I底S层驱动的微程端序i分：i驱为动三，类就：是物理(1)N…网D络IS设M备…的in驱ip动动。程程rt 损失十分巨大。 目前企业和个人用户为降低病毒感染的概 率，防范木马等恶意软件对数据的偷窃和破坏 ，已大量安 装个人防火墙软件。 WindoWS操作系统下的个人防火墙软件易用性强， 并且基本上都具有网络数据包的拦截 能力。拦截和发送 技术在不同层可通过很多方式得 以实现 ，其 中的NDIS HOOk技术由于性能优越 ，已经被众多个人防火墙开发者 所采用。本文将对 NDIS Hook技术进行系统的介绍，并 重点探讨了如何使用 NDIS Hook技术在 NDIS层实现数 据包的拦截与发送。 2NDIS的驱动结构与处理流程 一 个协议驱动程序只有通过 网卡才能从 网络上读写消 息。但市场上的网卡有很多细微差别，要让协议驱动程序 直接从网卡上读取信息非常困难 。所 以，网卡厂商提供 了 能够通过该厂商的专属硬件来接受和传输网络消息的设备 驱动程序。1989年 ，Microsoft和 3Corn联合开发了网络 驱动程序接 口规范 (NDIS，Network Driver Interface Specification…)，因而协议驱动程序可 以以一种与设备无 关的方式来跟网卡驱动程序进行通信。遵从 NDIS的网络 ； … 适配器驱动程序称为 NDIS驱动程序 ，或者 NDIS小端 口 图 1NDIS驱动模 型 驱动程