SPI进行网络封包的截获.docVIP

很多单机版的防火墙都是利用了ＳＰＩ的技术来实现对网络封包的截获处理．［当然也有结合ＮＤＩＳ及ＩＭＤ驱动的，不再本贴范围内：）］，也可以通过ＳＰＩ技术实现无进程的ＤＬＬ木马．这里Winsock2 SPI的原理在这就不多说了，网上多得是． 以下仅为我前段时间学习ＳＰＩ技术时的写的一些代码，望大家一起来研究讨论． 以下分别为wskfilter.dll及nfilter.exe的代码，编译成功后将两个文件放在同一目录下，ＣＭＤ下运行nfilter.exe便可以加载自己的ＬＳＰ（分层服务提供者）来截获相关ＷＩＮＳＯＣＫ　ＡＰＩ的调用了．当然如何处理需要在wskfilter.dll中进行控制，在此不作详述． ///////////////////////////////////////////////////////////////////////////////////////////wskfilter.dll by miyagi@2007.5.21//////wskfilter.cpp : Defines the entry point for the DLL application.// 开发思路:// //??? 1)每个DLL都必须有一个入口点，故通过DllMain这个缺省函数做为入口函数。该函数负责//?????? DLL的初始化与结束的工作；//???? 1.1)在DllMain中，通过GetModuleFileName获取到当前调用该DLL的进程名称，以备后需；//???? 1.2)分别定义枚举服务提供者函数GetProvider()，释放服务提供者函数FreeProvider()；//??? //??? 2)通过g_NextProcTable中保存的下层服务提供者的函数列表，来Hook咸兴趣的函数，并将//?????? Hook的函数进行自定义处理，即实现了Winsock的过滤及监控处理；////??? 3)WSPStartup是LSP必须导出的函数。同时在创建DLL工程后，先向工程中添加一个.def文件。//?????? 即模块定义文件，声明所有要导出的函数；//???? 3.1)判断WSPStartup函数是否被调用LSP（分层服务者）调用的；//??? 3.2)枚举各协议服务提供者，找到LSP下层协议服务提供者的WSAPROTOCOL_INFOW结构;//???? 3.3)通过以上遍历得到的下层服务提供者(现存放于NextProtocolInfo中)的GUID来确定其DLL//???????? 的路径；//???? 3.4)通过函数WSCGetProviderPath()获取及ExpandEnvironmentStrings()扩展来得到下层服务//???????? 提供者的DLL；//???????? 路径，该路径是包含了环境变量的;//???? 3.5)加载下层服务提供者，即加载其下载服务提供者的DLL；//???? 3.6)通过自定义的一个指向WSPSTARTUP函数指针，来启动下一层服务提供者；//???? 3.7)调用下层服务提供者的WSPStartup函数，调用成功后其中lpProcTable变量将在后期进行//???????? Hook时经常用到；//???? 3.8)通过修改传递给下层服务提供者的函数列表，Hook相关WSP函数；//?/////////////////////////////////////////////////////////////////////////////////////// ? #define UNICODE#define _UNICODE #include Winsock2.h#include Ws2spi.h#include Windows.h#include tchar.h#include Debug.h #pragma comment(lib, Ws2_32.lib) ? WSPUPCALLTABLE g_UpCallTable;? WSPPROC_TABLE g_NextProcTable;? TCHAR g_szCurrentApp[MAX_PATH];? BOOL APIENTRY DllMain( HANDLE hModule, ?????????????????????? DWORD? ul_reason_for_call, ?????????????????????? LPVOID lpReserved????? ){?switch(ul_reason_for_call)?{??//获取调用wskfilter.dll的进程名称；?case DLL_PR