老v的2016-驱动ppt驱动第14课.pdf

WFP与Ndis Fi r WFP与NDIS FI R • WFP • NDIS FI R （下周） • 作业（下周） WFP • Wfp过滤引擎Engine • 创建Callout处理 • 创建SubKey处理 • 创建Fi r过滤设置 • 课后扩展:进一步降低 的Provider与 Context模式 WFP • WFP 第一个例子:进程 • WFP 第二个例子:TCP数据过滤与修改 • 思考：流量 ？ALE层过滤？ • 思考：ARP过滤？ Wfp 引擎 • FwpmEngineOpen • FwpmEngineClose • Engine操作特性: • FwpmTransactionBegin • FwpmTransactionAbort • FwpmTransactionCommit FwpmEngineOpen 创建Callout处理 • FwpsCalloutRegister<--创建Callout • FwpmCalloutAdd<--向wfp添加Callout FwpsCalloutRegister • FWPS_CALLOUT 结构 • calloutKey callout标识guid • flags 表示是否使用FLow • classifyFn-->过滤回调-->注意此处DPC • notifyFn-->Fi rAdd和Fi rDelete等操作通 知回调，可以拒绝操作 • flowDeleteFn-->FlowContext删除回调 FwpsCalloutRegister FwpmCalloutAdd • FWPM_CALLOUT结构 • calloutKey callout的guid • applicableLayer 将callout添加到哪一层面 • flags • applicableLayer • 关于applocablelayer： • 创建SubKey处理 • FwpmSubLayerAdd • FWPM_SUBLAYER结构： • weight ——>权重！！！越大越早 • 但是weight应该小于 FWPM_SUBLAYER_UNIVERSAL的 Weight 以确保系统正常—— • 正常情况下0xFFFF-1就是最大权重 fi r与fi r过滤设置 • FwpmFi rAdd • FWPM_FI R结构填写 • cn/library/aa364265.aspx Condition过滤条件的填写 • fieldKey; • matchType; • conditionValue; fieldKey • FWPM_CONDITION_ X matchType • 常用 • FWP_MATCH_RANGE • FWP_MATCH_EQUAL • FWP_MATCH_NOT_EQUAL conditionValue •