基于Windows平台的网络封包截获技术研究.PDFVIP

2003年全国理论计算机科学学术年会论文集 基于Windows平台的网络封包截获技术研究 ASurveyofNetworkPacketCapturingTechnologiesontheMicrosoftWindowsPlatforms 朱颖靓 王晓a 李婷 贾小珠 (青岛大学信息工程学院，山东青岛266071) Abstract:Thispaperdiscusses techniquesthatcanbeusedtocapturenetworkpacketson theMicrosoftWindowsplatformsoverthenetworkarchitecture,andmainlyanalyzestheNDIS- Hookingtechnique.ItalsogivestwomethodsofimplementingNDIS-Hookingtechn匆ue. NDIS-Hooking,Intermediatedrivers,Packetcapturing 1引言 随着网络安全问题日益严重，网络安全产品越来越被人们重视起来，而各类网络安全产品中都几 乎不可避免地要涉及到对网络数据封包进行截获的问题。Windows操作系统作为使用最为广泛的PC 机操作系统，在其平台下开发的网络安全产品数不胜数，这就需要有合适的封包截获技术来配合网络 安全产品发挥其作用. 2Windows平台下的网络通信结构 在Windows平台下实现网络封包截获必须依赖于Windows系统的网络通信结构，而Windows网 络通信结构采用的是分层式结构，这就决定了要对网络封包截获技术进行研究就必须先分析 Windows平台的分层网络通信结构。 总的来说，windows操作系统的网络通信结构可以分为两个层面:上层的为用户态 (user- mode)，下层的为内核态 (kernel-made)。其结构如图I所示。 标准的Windows网络通信结构的用户态可以分成三层，处于最顶层的是Windows网络应用程 序，Windows网络应用程序通过处于中间层的SocketAPI来实现与底层服务提供者接口SPI的数据 传输。Winsock是为上层应用程序提供的一种标准网络接口，为上层应用程序提供透明的服务。而 Winsock2引入的SPI打破了服务提供者的透明性，使开发者可以编写自己的服务提供者函数。 在内核态下，Wnidows网络通信结构的划分比较复杂。最顶层的内核态TDI(TransportData Interface)用户驱动程序，通过TDI接口与Protocol驱动程序交互。TDI是传输驱动接口，它不仅是 一个简单的传送带，还要对信息进行检索、分类并重新组织。在Protocol驱动程序与Miniport驱动程 序之间还存在一个NDISIntermediate驱动程序。NDISMiniport驱动程序通过NDIS与最底层的网卡 进行通信。 156 青岛大学学报 璐缀巍聚寒良翎 澳!夔塞囊欧勿 娜山娜Wr娜户肠有诊 嘿.oennney4e. 城 }鹦寒竺吕 0 。 居 图】Windows平台网络通信结构图 NDIS(网络驱动程序接口规范)是Microsoft与3Com公司在1989年制定了一套开发网络驱动 程序的标准。NDIS为网络驱动的开发提供了一套标准的接口，使得网络驱动程序的跨平台性更好。 Windows使用NDIS函数库实现NDIS接口，所有的网络通信最终必须通过NDIS完成。NDIS横跨 传输层、网络层和数据链路层，并提供以下几个层次的接口: (1)NDIS协议