基于Windows内核态个人防火墙设计与实现.docVIP

基于Windows内核态个人防火墙设计与实现 　　摘要：为了提高防火墙对非法数据包的拦截能力，增强Windows主机上网的安全性，设计并实现了一个基于Windows内核态的个人防火墙。它由应用程序和驱动程序2部分组成，其中应用程序负责对数据包进行实时监控以及安全规则实现，并向用户报告防火墙的运行状态或安全事件；基于NDIS中间层驱动程序对数据包进行拦截，采用设备输入和输出控制（IOCTL）方法实现内核态进程与用户态进程间的通信。测试结果表明，该防火墙能在Windows平台下稳定运行，能够有效拦截非法数据包。 　　关键词：防火墙； NDIS； 中间层驱动； Passthru； 进程间通信 　　中图分类号：TN919?34; TP393.08文献标识码：A文章编号：1004?373X(2012)06?0049?04 　　 　　Design and implementation of personal firewall based on Windows kernel mode 　　HEYing, QIN Yi?wei, LI Dan 　　(College of Physical Science and Technoloy, Guangxi Normal University, Guilin 541004, China) 　　 　　Abstract： In order to improve the firewall′s ability to intercept illegal packets and enhace the security of the host running a Windows OS, a personal firewall was designed and implemented based on Windows kenel mode. It consists of two main parts: application programs which runs in user mode, and driver programs which runs in kernel mode. The received packets are monitored in real?time and the security rules are implemented with the former, and the packets are intercepted with the latter which is designed based on NDIS. The communication between user?mode and kernel?mode inter?process is implemented with the way of driver defined IOCTL. The test results show that this firewall can run stably on Windows platform and can effectively intercept all the illegal packets. 　　Keywords： firewall; NDIS; middleware drive; Passthru; inter?process communication 　　 　　 　　收稿日期：2011?09?150引言 　　防火墙在网络安全防护中具有重要作用，从应用的角度来看，防火墙可以分为企业级防火墙和个人防火墙［1］。前者主要是部署在内、外部网络的边界，对内、外部网络实施隔离，从而保护内部网络的安全：而后者则通过纯软件的方式来实现，安装在个人电脑中，通过对网络数据包拦截、规则的设置和匹配及对网络行为的处理(允许或禁止)来达到保护网络安全的目??。 　　目前，Windows操作系统已广泛应用在个人电脑中，基于 Windwos的个人防火墙技术已经相对成熟，市场上各类产品也很多，国外较署名的产品有：Kaspersky anti?Hacker，McAfree，Norton Personal Firewall，ZoneAlarm Pro和Outpost Firewall PRO等，国内产品中常见的有天网、金山和瑞星等。这些个人防火墙的核心区别在于Windows环境下网络数据包拦截方法，通常数据包的拦截可以在windows用户态和核心态进行，在用户态采用Winsock2 spi 拦截http，ftp，telnet和pop3等应用层协议网络数据包，这种方法效率较高，容易进行数据包内容过滤，但它只能在Winsock层次上拦截网络数据包，拦截能力较弱；与用户态相比