利用WinSock2SPI进行网络内容访问控制.doc

利用WinSock2 SPI进行网络内容访问控制 与传统的包过滤防火墙技术不同，本文从应用层网关技术入手，深入探讨了利用WinSock2 SPI进行网络内容访问控制的问题。这是网络安全的一项新内容，或者说，它为网络安全技术的爱好者和研发人员提供了一个新的思路。 防火墙可以实施和执行网络访问策略，但是，传统的防火墙技术集中于如何防范外部网络对内部网络的入侵和攻击上，而对于如何控制内部用户对外部网络的访问问题研究不够深入，相关的控制技术也不多。据权威资料显示，全球现有大约25万色情网站，单纯依靠传统的包过滤等防火墙技术，势必会严重影响网络性能。针对这一问题，我们从应用层网关技术入手，利用WinSock2 SPI技术，进行了研究和探讨。 　　Winsock2 SPI原理图 Winsock2 SPI（Service Provider Interface）服务提供者接口建立在Windows开放系统架构WOSA（Windows Open System Architecture）之上，是Winsock系??组件提供的面向系统底层的编程接口。Winsock系统组件向上面向用户应用程序提供一个标准的 API接口；向下在Winsock组件和Winsock服务提供者（比如TCP/IP协议栈）之间提供一个标准的SPI接口。各种服务提供者是 Windows支持的DLL，挂靠在Winsock2 的Ws2_32.dll模块下。 对用 户应用程序使用的Winsock2 API中定义的许多内部函数来说，这些服务提供者都提供了它们的对应的运作方式(例如API函数WSAConnect有相应的SPI函数 WSPConnect)。多数情况下，一个应用程序在调用Winsock2 API函数时，Ws2_32.dll会调用相应的Winsock2 SPI函数，利用特定的服务提供者执行所请求的服务。 Winsock2 SPI允许开发两类服务提供者——传输服务提供者和名字空间服务提供者。“传输提供者”（Transport Providers, 一般称作协议堆栈，例如TCP/IP）能够提供建立通信、传输数据、日常数据流控制和错误控制等传输功能方面的服务。“名字空间提供者”（Name Space Providers，例如DNS名字解析服务）则把一个网络协议的地址属性和一个或多个用户友好名称关联到一起，以便启用与应用无关的名字解析方案。 Winsock2中使用的传输服务提供者有两类：基础服务提供者和分层服务提供者。基础服务 提供者执行网络传输协议（比如TCP/IP）的具体细节，其中包括在网络上收发数据之类的核心网络协议功能。“分层式”（Layered）服务提供者只负 责执行高级的自定义通信功能，并依靠下面的基础服务提供者，在网络上进行真正的数据交换。 为了进行内部用户对外访问控制，我们需要在 现有的基础提供者TCP/IP提供者上设立一个分层式的URL过滤管理者。通过URL过滤管理者我们可以截获用户请求的HTTP数据包中的URL地址，继 而可以通过高效的数据检索算法（如利用Fibonacci散列函数的哈希表），在访问规则库（被禁止访问的IP集合）中查找指定的IP，根据结果拒绝或提 供访问服务。 传输服务提供者的安装方式决定了它不仅是一个分层提供者，还是一个基础服务提供者。Winsock 2使用系统配置数据库配置传输服务提供者。配置数据库让Winsock2得知服务提供者的存在，并定义了提供的服务类型。要在Winsock2服务提供者 数据库内成功安装和管理服务提供者，需要四个函数：WSCEnumProtocols、WSCInstallProvider、 WSCWriteProvider Order、WSCDeInstallProvider。 这些函数利用WSAPROTOCOL_INFOW结构，对服务提供者数据库进行查询和操作。要安装分层式服务提供者，需要建立两个 WSPPROTOCOL_INFOW目录条目结构。一个代表分层提供者（协议链长度等于0），另一个将代表一个协议链（协议长度大于1），该协议链把分层 提供者与一个基础服务提供者链接起来。应该使用现有服务提供者的WSAPROTOCOL_INFOW目录条目结构的属性来初始化这两个结构。 调用WSCEnumProtocols可以获得已有的服务提供者的WSAPROTOCOL_INFOW目录条目结构。初始化之后，首先需要使用 WSCInstallProvider来安装我们的访问控制分层服务提供者目录条目，然后，利用WSCEnumProtocols列举出所有的目录条目， 获得安装之后为这个结构分配的目录ID。然后，用这个目录条目来设置一个协议链目录条目，通过它，将我们的访问控制服务提供者和另一个提供者（TCP基础 提供者）链接起来。然后再