[参考]基于SPI的数据报过滤原理与实现.docVIP

基于SPI的数据报过滤原理与实现一. 个人防火墙技术概述二. Winsock 2 SPI介绍三. 相关程序代码分析四. 小结与后记五. 附录之源代码一）个人防火墙技术概述????随着网络安全问题日益严重，广大用户对网络安全产品也越来越关注。防火墙作为一种网络安全工具，早已受到大家的青睐。在PC机上使用的个人防火墙，很大程度上成为广大网民的安全保护者。Windows下的个人防火墙都是基于对数据报的拦截技术之上。当然在具体的实现方式上它们却有很大的不同。总的来说可分为用户级和内核级数据报拦截两类。其中内核级主要是TDI过滤驱动程序，NDIS中间层过滤驱动程序，NDIS过滤钩子驱动程序等，它们都是利用网络驱动来实现的；而用户级的过滤包括SPI接口，Windows2000包过滤接口等。本文主要讲述基于SPI的包过滤实现，它是Winsock 2的一个新特性。二）Winsock 2 SPI介绍????Winsock 2 是一个接口，而不是协议，所以它可以用于发现和使用任意数量的底层传输协议所提供的通信能力。起初的Winsock是围绕着TCP/IP协议运行的，但是在Winsock 2中却增加了对更多传输协议的支持。Winsock 2不仅提供了一个供应用程序访问网络服务的Windows socket应用程序编程接口（API），还包含了由传输服务提供者和名字解析服务提供者实现的Winsock服务提供者接口（SPI）和ws2_32.dll。本文仅讨论传输服务提供者及其应用，暂不对名字解析服务提供者进行分析。????Winsock 2的传输服务提供者是以动态链接库的形式（DLL）存在的，它是通过WSPStartup函数为上层函数提供接口，而其他的传输服务提供者函数则是通过分配表的方式来访问WS2_32.DLL。传输服务提供者的动态链接库只有在应用程序需要时才由Ws2_32.dll来装入内存中的，在不需要时则会被自动卸载。以下是winsock 2在传输服务提供者上的WOSA（Windows开放服务结构）:|Windows socket 2 应用程序|Windows socket 2 API|?????? WS2_32.DLL????????|Windows socket 2 传输SPI|?? 传输服务提供者（DLL）??|??????Windows socket SPI在服务提供者中使用了以下的函数前缀命名方式：WSP（Windows socket服务提供者），WPU（Windows socket提供者向上调用），WSC（Windows socket配置）。每一个传输服务提供者都有它自己所支持的传输协议，它是使用WSAPROTCOL_INFOW结构来实现的。传输服务提供者把所有的相关信息都存放在这个结构中，而应用程序就是通过这个结构的内容来将自己和相应的传输服务提供者相关联。????Windows socket SPI提供三种协议：分层协议，基础协议和协议链。分层协议是在基础协议的上层，依靠底层基础协议实现更高级的通信服务。基础协议是能够独立，安全地和远程端点实现数据通信的协议，它是相对与分层协议而言的。协议链是将一系列的基础协议和分层协议按特点的顺序连接在一起的链状结构，请参见下图：API?? |??????WS2_32.DLL???? |SPI?? | 分层协议 |SPI?? | 分层协议 |SPI?? |?????? 基础协议?????? |?? ????Ws2_32.dll数据传输部分的主要功能是在服务提供者和应用程序之间提供流量管理的功能。每个应用程序通过Ws2_32.dll和相应的服务提供者进行严格的数据交换。Ws2_32.dll根据应用程序在创建套接字时所提供的参数来选择特定的服务提供者，然后把应用程序的实现过程转发由所选创建套接字的服务提供者来管理。也就是说，Ws2_32.dll只是一个中间过程，而应用程序只是一个接口，数据通信的实现却是有服务提供者来完成的。我们说过，Ws2_32.dll是通过创建套接字的API函数WSASocket或socket的参数来确定使用哪一个服务提供者。而WSASocket/socket的参数中包括了地址族，套接字类型和协议类型，这三个因素共同决定了创建套接字的服务提供者。Ws2_32.dll在服务提供者中寻找第一个和前面三因素相匹配的WSAPROTOCOL_INFOW结构，然后就调用这个WSAPROTOCOL_INFOW结构相应的WSPStartup函数，（所有的数据传输服务提供者以DLL的形式，它们对外的接口就只有WSPStartup，其他的服务提供者函数都是通过WSPStartup来调用的），进而调用如WSPSocket的函数来