基于NDIS中间层的网络数据包拦截技术及实现
防火墙的数据包拦截方式小结
防火墙的数据包拦截方式小结网络防火墙都是基于数据包的拦截技术之上的。
在Windows下，数据包的拦截方式有很多种，其原理和实现方式也千差万别。
总的来说，可分为“用户级”和“内核级”数据包拦截两大类。
用户级下的数据包拦截方式有：* Winsock Layered Service Provider (LSP)。
* Win2K 包过滤接口(Win2K Packet Filtering Interface)。
* 替换Winsock动态链接库 (Winsock Replacem ent DLL)。
内核级下的数据包拦截方式有：* TDI过滤驱动程序 (TDI-Filter Driver)。
* NDIS中间层驱动程序 (NDIS Intermediate Driver)。
* Win2K Filter-Hook Driver。
* Win2K Firewall-Hook Driver。
* NDIS-Hook Driver。
在这么多种方式面前，我们该如何决定采用哪一种作为自己项目的实现技术？这需要对每一种方式都有一个大致的了解，并清楚它们各自的优缺点。
技术方案的盲目选用往往会带来一些技术风险。
以自己为例，我需要在截包的同时得到当前进程文件名，也就是说，需向用户报告当前是哪个应用程序要访问网络。
在选用Win2K Filter-Hook Driver这一方案之后(很多小型开源项目都采用这一方案)，便开始编码。
但之后发现Win2K Filter-Hook Driver的截包上下文处于内核进程中，即IRQL >= DISPATCH_LEVEL，根本无法知道当前应用程序的名字。
相比之下，TDI-Filter Driver和NDIS-Hook Driver则可以得知这些信息。
其中TDI-Filter Driver比NDIS-Hook Driver更能准确地获知当前应用程序文件名，后者的接收数据包和少数发送数据包的场景仍然处于内核进程中。
基于NDIS中间层的木马防护机制研究及实现
Ｅｌ ｅ ｃ ｔ ｒ ｏ ｎｉ ｃ Ｓｃ ｉ ．＆ Ｔｅ ｃ ｈ ． ／Ｍ ａ ｙ ．１ ５． ２ ０１ ３
基于 Ｎ ＤＩ Ｓ 中 间 层 的 木 马 防 护 机 制 研 究 及 实 现
洪双喜 ，雷
摘 要
涛
４ ５ ０ ０ １ １ ）
随着社会信 息化 以及信息 网络化的迅速发展 ， 网 络安 全 问题 １ ３益 突 出且 越 来 越 复 杂 ， 已经 成 为 亟 待解
决 的问题 ， 并 引起 各 方 的关 注 。 目前 以木 马 病 毒 对 网 络 系统信 息进 行 的窃取 、 篡改 行 为最 为突 出 ， 这对 网络 用户 的信 息 安全 构 成 了 巨大 威 胁 。与 此 同时 ， 各 种 病 毒程 序 ， 尤 其 是 木 马 程 序 通 过 计 算 机 网络 渗 透 到 Ｐ Ｃ 机中， 窃取秘密信息 ， 给 信 息 系统 或个 人 带 来 严 重 威 胁 。比较 有 名 的 杀 毒 软 件 如 ３ ６ ０ 、 瑞 星 等 杀 毒 软 件 可 以对计算 机 起到 良好 的 保 护作 用 ， 但 对 已经 潜 入 计 算
ＨＯＮＧ Ｓ ｈ ｕ ａ ｎ ｇ ｘ ｉ ，Ｌ ＥＩ Ｔａ ｏ
（ Ｓ ｃ ｈ ｏ ｏ ｌ ｏ ｆ Ｉ ｎ ｆ ｏ ｒ ｍ ａ ｔ ｉ ｏ ｎ Ｅ ｎ ｇ ｉ ｎ ｅ ｅ ｒ ｉ ｎ ｇ ，Ｎ ｏ ａ ｈ Ｃ ｈ ｉ ｎ ａ Ｕ ｎ ｉ ｖ ｅ ｒ ｓ ｉ ｔ ｙ ｏ ｆ Ｗａ ｔ ｅ ｒ Ｃ ｏ ｎ ｓ ｅ ｒ ｖ ａ ｎ ｃ ｙ
ｔ ｅ ｃ ｔ ｉ ｏ ｎ ｍｅ ｃ ｈ ａ ｎ ｉ ｓ ｍ ｉ ｎ ｋ ｅ ｒ ｎ ｅ ｌ ｌ ｅ ｖ ｅ ｌ ｂ ａ ｓ ｅ ｄ ｏ ｎ ＮＤＩ Ｓ ｉ ｎ ｔ ｅ ｍ ｅ ｒ ｄ ｉ ａ ｔ ｅ ｄ ｉｖ ｒ ｅ ｒ ｔ ｅ ｃ ｈ ｎ ｉ ｑ ｕ ｅ ｏ ｎ ｔ ｈ ｅ ｗｉ ｎ ｄ ｏ ｗｓ ｐ ｌ ａ ｔ ｆ ｏ ｍ ｒ ｉ ｓ ｐ ｕ ｔ ｆ ｏ ｒ ｗａ ｒ ｄ ．
基于NDIS驱动的网络数据捕获研究
Ｉ ＳＳＮ １ ０ － ０ ４ ０ ９ ３ ４
Ｅ～ ｉ ｉｆ ＠ｃ ｃ ． ｅ．ｎ ｍａｌ ｎ ： ｏ ｃ ｃｎ ｔ ｅ ｈ ｔ ：ｗｗ ｄ ｚ ．ｅ ．ｎ ｔ ／ ｗ．ｎ ｓｎ ｔ ｐ／ ｅ Ｔ ｈ ８ — ５１ ５ ９ ９ ３ ５ ９ ９ ４ ｅ ＋ ６ ５ — ６ ０ ６ ￣ ０ ６
ｓ ｃａ ｔ ｏ ｋ ｃ ｅ ｏ ｈｅ ｎｅｗ ｏ ｋ．Ｍ ａ ｙ ｍ ｅｈｏｄ ａ ｓ ｄ ｆ ｒ ｎ ｔ ｏｒ ｃ ｔｃ ｐ ｒ ｎｄ ｔ ｅ ｍ ｅｈｏ ｓ ｄ ｏｎ Ｎ Ｄ Ｉ ｎ ｉ ｐｅ ｉｌｎｅ ｗ ｒ ｐａ ｋ ￣ ｎ ｔ ｔ ｒ ｎ ｔ ｓｃ ｎ ｂｅ ｕ ｅ ｏ ｅ ｗ ｋ ｐａ ｋｅ ａ ｔ ｅ ａ ｔ ｄ ｂａｅ ｕ ｈ Ｓ ｉ ｗ ｎ— ｄ ｗ ｓｉ ｏ ｔｅ ｉｉ ｎ ｎｄ ｃ ｖｅ ｉｎｔｓ ｅ ｎ ｔ ｉ ｐｅ ，ｔ ｅ ｐ ｎ ｉｌ ｎ ｔ ｅ ｉ ｐｌｍ ｅ ｔ ｍ ｅｈｏ ｏ ｈ ｓ ｃ ｐｔ ｅ ａ ｅ ｐｒ ｖ ｄ ｄ．Ｓｏ ｅ ｏ ｓ ａ ｍ ｓ ｆ ｃｅ ｔ ａ ｏｎ ｎｅ ｔ ．Ｉ ｈ ｓｐａ ｒ ｈ ｒ ｃｐ ｅ ａ ｄ ｈ ｍ ｅ ｎ ｔ ｄ ｆｔｉ ａ ｕｒ ｒ ｏ ｉ ｅ ｙｌ ｉ ｍ ｎｅ ｏｒ ｐ ｃ ｔｍ ｅ ｈ ｓａｅ ｄ ｓｕｓｅ ｎ ｏｍ ｐａｅ Ｔｈｅ ｅ ｃ ｔｏ ｐ ｏ ｒ ｓ ｗ ｔ ｋ ａ ｋｅ ｔ ｏｄ ｒ ｉｃ ｓ ｄ ａ ｄ ｃ ｒ ｄ． ｘｅ ｕ ｉｎ ｒ ｇ ｅ ｓｏｆＴｈｅＮ Ｄ Ｉ ｎｔｒ ｅ ｉｔ ｒｖ ｒｉ ｎ ｙ ｅ ｎ ｅ ａｌａ ｅ Ｓ ｉ ｅ ｍ ｄ ａｅ ｄ ｅ ｓａ ａ ｚ ｄ ｉ ｄ ｔｉ ｎｄ ｔ ｉ ｌ ｈ ｉ ｔｒ ａ ａａｓｏ ａ ｔ ｃｕｒ ｎｄ ｏ ｒｔｏｎ ｍ ｅ ｈ ｓａｅ ｄｅｃ ｂ ｄ． ｎ ｅ ｌ ｄ ｔ ｔ ｒｇｅｓｒ ｔ ｅ ａ ｐｅ ａｉ ｔ ｏｄ ｒ ｓ ｒ ｅ ｎ ｕ ｉ
新型非法外联监控系统的研究与实现
ｌｉｎｋ
ｓｙｓｔｅｍ
ａｎｄ ｌａｒｇｅ ａｄｏｐｔｅｄ ｂｙ ｌｏｔｓ ｏｆ ｇｏｖｅｒｎｍｅｎｔ ｄｅｐａｒｔｍｅｎｔｓ
ｏｒｇａｎｉｚａｔｉｏｎｓ，ｂｅｃａｕｓｅ
ｏｒ
ｏｆ ｉｔｓ ｓｉｍｐｌｅ
ＬＡＮ ｅｘｐｌｏｒａｔｉｏｎ ａｎｄ ｓｕｉｔａｂｉｌｉｔｙ ｆｏｒ ｔｈｅ ｓｅｃｕｒｉｔｙ ｎｅｅｄｓ ｏｆ ｌａｒｇｅ—ｓｃａｌｅ
ｌｉｎｋ
ＯＣＣｕｒＳ ａｎｄ
ｏｎｃｅ
ｉｔ
Ｏｃｃｕｒｓ．ｔｈｅ ａｇｅｎｔ ｐｒｏｇｒａｍ ｗｉｌｌ ｃｏｎｎｅｃｔ ｗｉｔｈ ｔｈｅ ｉｎｔｒａｎｅｔ ｍｏｎｉｔｏｒｉｎｇ ｃｅｎｔｅｒ ｔｏ ｃｕｔ ｏｆｆ ｔｈｅ ｉｌｌｅｇａｌ
ａ
ｌｉｎｋ
ｉｎ ｔｉｍｅ，ｔｈｕｓ ｇｒｅａｔｌｙ ｉｍｐｒｏｖｉｎｇ ｔｈｅ ｓａｆｅｔｙ ａｎｄ ｒｅｌｉａｂｉｌｉｔｙ．Ａｆｔｅｒ ｄｅｅｐｌｙ ａｎａｌｙｓｉｓ ｏｆ
控及对物理隔离的有效性进行检查。它提供对指定网段内计算机用户的实时监控，及
时发现其中的拨号等非法外联行为，从而有效地维护用户网络的安全，尤其是对已经
中山大学 硕士学位论文 新型非法外联监控系统的研究与实现 姓名：何烽华 申请学位级别：硕士 专业：计算机技术 指导教师：龙冬阳 20090501
论文题目：新型非法外联监控系统的研究与实现 专业：计算机技术
硕（博）士生：硕士
指导教师：龙冬阳
摘
要
随着计算机应用的普及，网络安全问题越来越引起人们的重视。非法外联监控技
学位论文作者鲐锈噜午
吼扩７年』月岔日
学位论文使用授权声明
本人完全了解中山大学有关保留、使用学位论文的规定，即： 学校有权保留学位论文并向国家主管部门或其指定机构送交论 文的电子版和纸质版，有权将学位论文用于非赢利目的的少量复 制并允许论文进入学校图书馆、院系资料室被查阅，有权将学位 论文的内容编入有关数据库进行检索，可以采用复印、缩印或其 他方法保存学位论文。
一种基于NDIS驱动的防火墙实现方法
【 要】 摘 ：文章分析 了 Ｎ Ｉ 内部结构和 中间驱动程 序的工作机制， Ｄ Ｓ的 讨论 了包过 滤防火墙的数据 包拦截技术 ， 设计并 实现 了一 个基 于 Ｎ Ｉ 间驱 动 程 序 的 个 人 防 火 墙 。 Ｄ Ｓ中 【 关键宇 】 防火墙 ； ： 拦截数据 包； Ｄ Ｓ Ｎ Ｉ
０ 言 ．引
‘
—
—
、
…
…
…
…
…
…
…
…
…
…
…
…
。
－
－
＿
图 ２具 体 通讯 的流 程
１ Ｎ Ｉ 间层 驱 动分 析 ． Ｄ Ｓ中
如 图 ２当 防 火 墙 没 有 打 开 时 ， 动 是 个 完 全 的 Ｐ ＳＴ Ｕ 。 驱 Ａ Ｓ ＨＲ
数 微 软 和 ３ ｏ 公 司 在 １８ Ｃｍ ９ ９年 制 定 了 一 套 开 发 ＷｉｄＷ ｎ Ｏ Ｓ下 行 为 ． 据 流 经 驱 动 不 做 处 理 。 当 防火 墙 开 启 时 ： Ａ ：防火 墙 通 过设 备 控 制 接 口把 事 件 参 考 信 息 发 送 到 驱 动 ． 网 络 驱 动 程 序 的 标 准 。称 为 Ｎ Ｉ （Ｎ ｔｏｋＤ ｖｒ ｎｅｆ ｅ ＤＳ ｅ ｒ ｒ ｅ ｔ ａ ｗ ｉ Ｉ ｒｃ Ｓ ｅｉｃｒｎ 。 Ｄ Ｓ为 网 络 驱 动 的 开发 提 供 了一 套 标 准 的接 口， 事 件 对 象传 递 给驱 动 程 序 。 ｐｃ ａ ０ ） Ｎ Ｉ ｉ ｆ ｌ Ｂ驱 动 程 序 通 过 对 象 事 件 处 理 程 序 引 用 该 事 件 对 象并 设 为 ： 使 得 网络 驱 动 程 序 的 跨 平 台 性 更 好 ． Ｄ Ｓ处 在 链 路层 和协 议层 Ｎ Ｉ 非 受 信状 态 。 Ｃ防 火 墙 然 后 发 送 共 享 内存 的 地 址 消 息 ． 出 取 共 享 内存 ： 发 （ ） Ｄ Ｓ小端 口驱 动 （ ｎｐ ｒｄ ｖｒ。这 也 就 是 我们 常说 １Ｎ Ｉ Ｍｉｉｏｔ ｒ ｅ） ｉ 的地 址 请 求 。驱 动 通 过 验 证 后 ， 入 Ｄ步 骤 。 进 的网 卡 驱动 Ｄ然后 防火 墙 将 开启 一个 现 成 监 视 事 件 ， ： 如果 事 件 为受 信 ． （ ） Ｄ Ｓ协议 驱 动 （ｒｔｃｌ ｒ ｅ） 例 如 Ｔ ＰＰ协 议 驱 ２ Ｎ Ｉ Ｐｏ ｏ ｄ ｖｒ。 ｏ ｉ ＣＩ 则 标 识 有 符 合 规 则 的 数 据包 拦 截 到 。将 通 过 共 享 内存 读 出数 据 动。 （）Ｎ Ｉ 中间 层 驱 动 （ ｔ ｍ ｄａ ｒ ｅ） ３ ＤＳ Ｉ ｅ ｅ ｉ ｅｄｉ ｒ。这 是 基 于 链 路 包 显 示 到 日志 中。 ｎｒ ｔ ｖ ｍ ｈ ｅｉｅ ｍａ Ｆ ｅ ＼ ＼ ｙａｓｕ ” ＿ Ｄ ｖ ＝Ｃ ｔ ｆ （ ＼ ￣ Ｐｓｄ＇ ． ｃ ｅｌ ”＼ Ｍ Ｌ ｕ 层和 Ｉ 之间的驱动。 Ｐ层 之 间 。Ｎ Ｉ 供 以下 几 个 层 次 的 接 口 ： Ｄ Ｓ提 Ｉ ｌ ｌ
基于NDIS中间层的通信安全机制的设计与实现
Ｍｉｒｃ ｍｐ ｔ Ａ ｐ ｃ ｆ ｎ Ｖ ｉ ４ Ｎ ． ， ０ ８ ｃｏ ｏ ｕｅ ｐ Ｈ ａ ｏ ｓ ｏ ２ ， ｏ ８ ２ ０ ｒ ｉ ．
文 章 编 号 ： １０ — ５ Ｘ ２ ０ ）－ ０ ６ ０ ０ ７ ７ ７ （０８ ８ ０ ０ — ３
跨 平 台 性 更 好 。 所 有 的 传 输 层 驱 动 程 序 都 需 要 调 用 ＮＤＩ Ｓ
研 究与 设计
微 型 电脑 应 用
２０ ０ ８年第 ２ ４卷第 ８期
基于 Ｎ Ｉ Ｄ Ｓ中间层 的通 信 安 全机 制 的设 计 与 实现
陈 小 爱 刘 海 涛
摘 要 ：Ｔ ＰＩ 协 议 本 身安 全性 不是 很好 ， 导 致 网络 通 信 存在 各种 安 全 问题 。另 一 方 面 ，越 来越 多 的企 业 开始 通 过 因特 网 Ｃ／ Ｐ
来越复杂，已经成为亟待解决的问题 ，引起各方越来越大 的 关注和投入 。 目前，主要的网络安全产品有：防火墙系统、
入 侵检 测 系统 （ Ｓ 、Ｖ Ｎ 等 等 ，这 些 网络 安 全 产 品 的 出发 Ｉ ） Ｐ Ｄ
Ｎ ｔｅＭ ｄａ ｙ ０ ａｖ ｅ ｉＴ ｐ ｉ
点都是假定 安全 威胁 来 自企业外部 网络 ，而非企业 内部 网 络 。然而根据美 国 Ｆ Ｉ统计，美国超过 ８％的 网络安全事 Ｂ ３ 故部跟 企业 内部员工有关， 内部网络使用者更加容易获得 企 业敏感或机密信息，从而导致企业有价值的信 息外泄 。 本 文针对企业网络安全的现状 ， 出了通过在 Ｗｉｄ ｗｓ 提 ｎｏ Ｎ Ｓ中间驱动层接 口插入 网络报文的处理模块 ，实现通 用 ＤＩ 的 网络 安全 通 信 平 台 。该 通 信平 台为 企 业 提 供 安 全 、可靠 及
网络安全中的拦截技术及其实际效果
网络安全中的拦截技术及其实际效果随着互联网的发展，网络安全问题日益凸显，各种恶意软件、黑客攻击、网络诈骗等问题层出不穷，给网络安全带来严峻挑战。
为了保障信息的安全，各个国家和企业采取了多种方法进行网络安全防护，其中拦截技术是一种常用的手段。
本文将从拦截技术的定义、分类和实际效果三个方面进行探讨。
一、拦截技术的定义拦截技术是指利用软硬件或网络设备，在传输、接收或处理网络数据的过程中，对其中包含的特定数据、信息或流量进行识别、拦截和过滤。
一般来说，拦截技术主要用于保护网络安全、限制网络访问、监管网络内容等方面。
拦截技术的实现原理可以通过网络协议分析、流量过滤、协议屏蔽等多种方式实现。
其中，网络协议分析是指对数据包的各个层级进行解析和分类，识别其中的特定信息；流量过滤是指在网络传输过程中，根据一定的规则对数据包进行过滤和筛选；协议屏蔽是指识别并屏蔽特定的网络协议及其相关数据流量，达到限制网络访问、保护计算机安全的目的。
二、拦截技术的分类在实际应用中，拦截技术可以根据其具体功能和应用场景进行分类。
下面列举几种常见的拦截技术分类。
1、URL过滤URL过滤是一种常用的拦截技术，主要用于限制网络访问，防止用户访问包含有害或不良信息的网站。
URL过滤技术主要通过对访问的URL进行分析和筛选，采用黑白名单的方式进行控制。
黑名单列表中包括一些危险的网站地址，当用户尝试访问这些网站时，就会被迫停止访问；白名单列表中包括一些安全的网站地址，用户只能访问这些列表中的地址。
2、应用层协议过滤应用层协议过滤技术主要是基于协议屏蔽实现的，它可以识别并阻止特定的协议类型和相关数据流量，在保护计算机免受恶意攻击的同时，可以限制网络访问。
应用层协议过滤技术可以识别常见的协议类型，如HTTP、SMTP、FTP等，并通过限制这些协议的流量来实现拦截。
3、流量过滤流量过滤是指根据数据包的源IP地址、目的IP地址、源端口号、目的端口号等多种信息对数据流量进行筛选和过滤的技术。
内网安全监控系统中NDIS中间层驱动技术的实现
Ａｂ ｔａ ｔ Ｔｈ ｅ ｅ ｈ ｉｕ ｆｔ ｅ ｉｔｒｅ ｔ ｎ ａ ｄ ａ ａｙ ｉ Ｏ ａａ ｐ ｃ ａ ｅ ｓｎ ｔ ｒ ｓｒ ｃ ： ｅ ｋ ｙ ｔｃ ｎｑ ｅ ｏ ｈ ｎ ｅ ｃｐ ｉ ｎ ｎ ｌｓ ｆ ｄ ｔ ａ ｋ ｇ ｓ ｕ ｉｇ Ｎｅｗｏ ｋ ｏ ｓ
Ｄｒ ｅ ｎ ｅｆｃ ｐ ｉｃ ｔ ｎ ｉ ｈ ｏｅｄ ｉｅ ｖ ｌ ｆＷ ｉｄ ｗｓ２ ０ ／ ｉ ｒＩ ｔｒａｅＳ ｃｆ ａ ｉ ｎｔ ｅｃ ｒ ｒｖ ｒｌ ｅ ｏ ｎ ｏ ０ ０ ＸＰ／ Ｏ ３ｉ ｅ ｐａｎ ｄ Ｔｈ ｖ ｉ ｏ ｅ ２ Ｏ ｘ ｌｉｅ ． ｅ ｓ
维普资讯
广 西 科 学 院学 报
Ｊ ｕ ｎ ｌ ｆＧｕ ｎ ｘ ａ ｅ ｆＳ ｉｎ ｅ ｏ ｒ ａ ａ ｇ ｉ ｏ Ａｃｄ ｍｙ ｏ ｃｅ ｃｓ
２ ０ ， ２ ４ ：９ ～ ２ ７ ０ ６ ２ （ ）２ ３ ９ Ｖ０ ＿ ２ Ｎｏ ４ Ｎｏ ｅ ｅ ０ ６ ｌ２ ， ． ｖ ｍｂ ｒ ２ ０
ｆ ａ ｉ ｉ ｔ ｆｔ ｉ ｔｃ ｎ ｑ ｅ ｉ ｐ ｏ ｅ ｎ ａ ｓ ｍｐ ｅ ｅ ｓｂｌ ｙ ｏ ｈ ｓ ｅ ｈ ｉ ｕ ｒ ｖ ｄ ｉ ａ ｌ ． ｉ Ｓ
Ｋｅ ｒ ｓ：ｎｔ ｒ ｄｉｔ ｒｖ ｒ ｉ ｔ ａ ｔ ｄａ ａ ｐ ｃ ｇｅ， ｙ ｗｏ ｄ ｉ ｅ ｍｅ ａ ｅ ｄ ｉｅ ，ｎ ｒ ｎｅ ， ｔ ａ ｋａ ＮＤＩ Ｓ
摘要 ： 阐述 在 Ｗｉｄ ｗｓ２ ０ ／ Ｐ ２ ０ ｎ ｏ ０ ０ Ｘ ／ ０ ３的核 心 驱 动 层 上 采 用 ＮＤ Ｓ Ｎｅｗｏｋ Ｄ ｉｅ Ｉｔｒ ｃ ｐｃｆａｉ ） Ｉ （ ｔ ｒ ｒ ｒ ｎｅｆ ｅＳ ｅｉｃｔ ｎ 中 ｖ ａ ｉ ｏ
NDIS中间层驱动包截获技术解析
NDIS中间层驱动包截获技术摘要:简要概括了NDIS的概念，阐述了NDIS的工作流程，详细说明了如何编写NDIS中间层驱动程序以获得网络封包的详细信息。
并且给出了一些代表性的示例代码，供读者参考。
一.NDIS驱动模型简介NDIS(Network Driver InterfaceSpecification)是网络驱动程序接口规范的简称。
它横跨传输层、网络层和数据链路层，定义了网卡或网卡驱动程序与上层协议驱动程序之间的通信接口规范,屏蔽了底层物理硬件的不同,使上层的协议驱动程序可以和底层任何型号的网卡通信。
NDIS为网络驱动程序创建了一个完整的开发环境，只需调用NDIS 函数,而不用考虑操作系统的内核以及与其他驱动程序的接口问题，从而使得网络驱动程序可以从与操作系统的复杂通讯中分离，极大地方便了网络驱动程序的编写。
另外，利用NDIS的封装特性，可以专注于一层驱动的设计，减少了设计的复杂性，同时易于扩展驱动程序栈。
防火墙的开发一般采用的是中间驱动程序。
通过NDIS中间层驱动,我们可以截获来自网卡的所有原始数据包。
图1则是NDIS中间层驱动的工作过程图图1NDIS中间层驱动程序是工作在MINIPROT和PROTOCOL接口之间的,驱动程序必须向下导出一个PROTOCOL接口,向上导出一个MINIPORT接口。
将自己创建的驱动程序插入到网卡驱动程序与传输驱动程序之间。
如此一来，当下层的网卡驱动程序接收到数据后会通过MINIPORT接口发送到我们导出的PROTOCOL接口上，NDIS中间层驱动程序便接收到了来自网卡的数据并调用我们准备好的回调函数处理数据包信息。
接着NDIS中间层驱动在处理数据包完毕后再继续把数据通过导出的MINIPROT接口向PROTOCOL接口发送。
这样就完成了一个截获数据包的过程。
二.NDIS中间层驱动的工作流程在开始学习NDIS中间层驱动之前，我们有必要了解下NDIS是怎样工作的。
当然这就包括了它的接收数据包的流程了。
基于NDIS中间驱动程序的ARP防火墙设计
网络层 的地址并且确定 了一个本地地址 ， 它就将此信息放到本 地主机 的 Ａ Ｐ缓存 中 ， Ｒ 以供将来使用 。
２ Ａ Ｐ协 议 漏 洞 Ｒ
是利用了这＿点传 ＤＳ 耀
输层驱动程序之间插 入 ・层自己的处理， 从而用来截获网络封包并 重新进行封包， ， 加密 网络地址转换 及过滤等 ， 由于 Ｎ Ｉ Ｄ Ｓ中间驱动 程序位于网卡和传输驱动程 序之间， 所以它可以截获较为底层的封 包 ， 而完成更为低级白操作。 ９ 因数据包过滤发生在 Ｎ Ｉ Ｄ Ｓ中间驱动层 ， 即处在 Ｎ Ｉ Ｄ Ｓ体系
通过 目标主机 的 Ｉ Ｐ地址来查找 目标主机 ＭＡ Ｃ地址 。 在局域 网 中， 工作 在第 ２ 的以太 网交换设备并不 能识别 ３ 的 Ｉ 层 ２位 Ｐ地 址， ２台主机之 间的通信是靠 ４ ８位以太网地址来传输以太网数
应 用 层
表 示 屡
应 用程 序
Ｗ ｓ ｃ ｏ ｋＡＰ： Ｉ
其地址 的过 程。如果地址都不对 ， 这有可能是 由于 主机 刚初 始
化 并 且 有 一 个 空 的 Ａ Ｐ缓 存 ，则 发 送 主机 就 用 Ａ Ｐ将 目的 主 Ｒ Ｒ
机 的网络层地址解析 为本地 的硬件地址。一旦发送主机解析了
据包进行截获或放行， 基于 Ｎ Ｉ Ｄ Ｓ中间驱动的包过滤系统的设计正
２０ ０８年第 １ 期 ９
基于 ＮＤＩ Ｓ中问驱动程 序 的
汪 利 鸿
防火墙设 计
ｆ 农业 职业技 术 学 院 ， 肃 兰 州 ７０ ２ ） 甘肃 甘 ３０ ０ 摘 要 ： 分析 了 Ａ Ｐ 骗 的原理 、 Ｒ 在 Ｒ 欺 Ａ Ｐ协议 漏洞 的基 础上 ， 合 Ａ Ｐ防 火墙 的设 计 开发过 程 ， 结 Ｒ 归纳 并提 出 了 于 Ｎ Ｉ 基 ＤＳ 中间驱 动层 的 具有状 态检 测 功能 、 于主 机 包过 滤式 防火墙 解决 Ａ Ｐ欺骗 的 方法和 策略 的具体 实现方 案 。 基 Ｒ
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
（ｓ “ ｆＴｃ ｏｇ ｎ ｏｐ￣ ｃｎ ．Ｏｌ ｈｕＵｉ ｒｔ， Ｇ／ ａ ５ ０ ５ Ｐ Ｃｉ） 酾ｔ ｔ ｏ ｅ ｎｌｙ ａｄＣｍ ｚ ｒｓｆｃ Ｕ ｚｏ ｎ ｅｌ 乱ｅ ｋ ｏ ｌ ｅ ｅｅ ｖｓ ｙ ｕ ｙｎ ５ ０Ｚ ， ｋａ ｇ ＞ ｋ
络 安全 产品基 本上 是基于 Ｗ ｉ ｄ ｗｓ 作 系统 下 网络封 包 ｎ ｏ 操
可 以在两个 层面 进行 ：用 户 态 （ ｓｒ— ｍｏ ｅ ｕｅ ｄ ）和 内核 态 （ｅｎ ｌ ｍｏｅ 。 ｋ ｒｅ — ｄ）
２１ ． 用户态下 （ ｅ — ｍ ｄ ） 网络数据包拦截 ｕｒ ｓ ｏｅ 的
据 包实施 有选 择的通 过 ， 依据 系统 事先 设定好 的过 滤逻 辑
，
检 查数 据 流 中的每 个数 据 包 ， 据数 据 包源地 址 、 目的 根
Ａｂｓｒ ｃ ： Ｔｈ ｐ ｐｒ ｎ ｌｓ ｔｅ ｔａ ｔ ｉ ａ ｅ ａ ａｙ ｉ ｈ ｗａ ｏ ｔｅ ｎ ｏ ｐ ｔｏｍ ｕ ｄｒ ａ ｉｕ ｐ ｃ ｔ ｉｅ ｂｏｋｉ ． ｏ ｔｏ ｉ ｅ ｃｐ ｉ ｍｅｈ ｄ ｆ ｈ ｎ ｔ ｒ ｓ ｓ ｙ ｆ ｈ ｗｉ ｗｓ ｌ ｆ ｒ ｎ ｅ ｖ ｒ ｓ ａｋｅ ｆｌ ｒ ｌｃ ｎ ｄ ａ ｏ ｔ ｇ． Ａｄ ｐｉｎ ｎ ｒｅｔｎ ｔ ｇ ｔ ｏ ｏ ｔ ｅ ｅｗｏｋ ｄ ｔ ｐ ｃ ａ ｅ ａｅ ｏ ｔｅ ａ ａ ａ ｋ ｇ ｂ ｓｄ ｎ ｈ ＮＤＳ ｎｅｍｅ ｉｔ ｌｖ １ Ｔｈｎ ｈｓ ａ ｅ ｄｓｕ ｓｓ ｈ Ｄ ｓ ｎ ｎ ｉ ｌ ｎａ ｉｎ ｆ ｐａ ｆ ｒ ｅ ｗｏｋ ａ ａ ａｋａ ｅ Ｉ ｉｔｒ ｄａ ｅ ｅ ｅ ． ｅ ｔ ｉ ｐ ｐｒ ｉ ｓｅ ｔ ｅ ｅｉ ａ ｄ ｍｐｅ ｔ ｔｏ ｏ ａ ｌｔ ｏｍ ｎｔ ｒ ｄ ｔ ｐ ｃ ｇ ｃ ｇ ｍｅ ｉ
Ｗｉｄ ｗｓＳ ｃ ｅ ｎ ｏ ｏ ｋ ｔ２是一个 接 口，它可 以用 于发现和使 用任意数 量 的底层传输 协议所 提供 的通信能 力 。Ｗ ｉ ｓ ｃ ｎｏｋ ２不仅提 供 了一个供 应用程 序访 问 网络 服务 的 Ｗ ｉ ｏ ｎｄ ｗｓ Ｓ ｃ ｅ 应用程序编程 接 口 （ ｏｋｔ ＡＰＩ，还包含 了由传输服务提 ） 供者和 名字解析服务提 供者实现 的 Ｗｉｓｃ 服 务提供者接 ｎ ｏｋ
１引言
随 着计 算机 网络技 术的 快速发 展和 Ｉｔ ｍｅ／ ｎ ｒ ｎ ｔ ｎ ｅ ｔ Ｉｔａ ｅ 技术 日益 深入 的应 用 ，以及许 多新 的 网络服务 的 出现 ，计
２ Ｗｉ ｏ ｓ ｎ ｗ 平台下 网络封包截获技术 ｄ
拦截 Ｗ ｉ ｏ ｎｄ ｗｓ下的 网络 封 包可 以在 多个 层 面进 行 ， 在 不 同 层面 所 拦 截 的 网 络 封 包 结 构 各不 相 同。 总 的来 说
在 用户 态下 ，通 常有 以下几种 方 法拦截 数据 ：
（） ｎｏｋ Ｌ ｙ ｒｄ Ｓ ｒｉ ｒｖｄｒ Ｓ ） １ Ｗｉｓｃ ａ ｅｅ ｅｖｃ Ｐ ｏ ｉｅ（ Ｐ ； ｅ Ｌ （） ｎ ｏ ０ ０包 过滤 接 口 ２Ｗｉｄ ｗｓ２ ０ （） 换 系统 自带 的 Ｗ ｉｓｃ 动 态连 接库 ３替 ｎ ｏｋ
２ １ １ ｎｏ ｋ ａ ｅｅ ｅｖｃ ｒｖｄ ｒ 也称 之 ｗｉ ｏ ．． Ｗｉ ｃ Ｌｙ ｒｄ Ｓ ｒｉ Ｐｏ ｉｅ（ ｓ ｅ ｎ ｗｓ ｄ
ｓｃ ｅ ２ Ｓ １ ｏ络封 包拦 截的基 础上 ，可 以实 现
数 据 包 的过 滤 与 处 理 。数 据 包 过 滤 …是指 在 网络 层 对 数
学术 技术
基于 Ｎ Ｉ ＤＳ中间层的 网络数据包 拦截技术及实现
裴 林 ， 曹 斌
（ 贵州大学 计算机科学与技术学院 ，贵州 贵阳 ５ ０ ２ ） ５０ ５
摘 要：该文分析 了 Ｗｎ ｗ 平 台下各种 包拦截过滤的方法 ，在分析各种 方法的基础上 ，采取基于 Ｎ Ｉ ｉｏｓ ｄ Ｄ Ｓ中间层 来拦 截 网络数据 包。
算机 网络 与人 类的 生产 、生活 、科 学技 术与文 化事 业密 不
可分 ，使 得人 们的 工作 和生活 发生 了 巨大的变 化 ；与此 同 时也 给人 们带 来 了一个 十分严 峻 的问题— — 网络安 全 。一 旦 网络安 全 问题发 生 ，通 常会 引起 严重 的后果 。为 了增 强 网络 的安 全性 ，人们 通常 在 Ｉ ｔｒ ｅ ｎ ｅ ｎ ｔ与局域 网之 间引入 防 火墙 。 由于 Ｗ ｉ ｄ ｗｓ ０ ０ ＸＰ是 目前 广泛 应用 的操作 系 ｎ ｏ ２ ０ ／ 统 ，使得 在 Ｗ ｉ ｄ ｗｓ ０ ０ ｎ ｏ ２ ０ ／ＸＰ下保 障 网络 安全 通信 成 为一 个迫 切需 要解决 的 问题 。基 于 Ｗ ｉ ｄ ｗｓ 台下 的网 ｎｏ 平
ｏ ｎｅｃｐｉ ｎ ｒｃｓｉ ． ｏ ｉ ｏ ｓ２ ０ ／ｘ ｎｅ ． ｆ ｉ ｒｅｔｎ ａｄ ｐｏｅｓ ｇ ｎ Ｗｎ ｗ ０ ０ ｐｕｄｒ ｔ ｏ ｎ ｄ
Ｋｅ ｗ ｏ ｄ ｙ ｒ ｓ： Ｎ Ｓ ｎｅｍｅ ｉｔ ｄｉｅ ； ｐ ｃ ｔ ｉｅｉ ＤＩ ｔ ｒ ｄ ｅ ｒｖ ｒ ａ ｋｅ ｆｔｒ ｇ； ｎ ｔ ｒ ｄ ｔ ｐ ｃ ｔ ｉ ａ ｌ ｎ ｅｗｏｋ ａ ａ ａｋｅｓ
设 计 并 实现 了 Ｗｎ ｗ ０ ０ ｘ 平 台下 的 网络 数据 包的拦 截 与处 理 。 ｉｏｓ２ ０ ／ ｐ ｄ
关键词 ：Ｎ Ｉ Ｄ Ｓ中间层驱动 ；包过 滤 ；网络封 包
Ｎｅｔ ｗｏｒ ｄａ ａ ａ ｋｅ ｓ ｎ ｅ ｃ ｔｏｎ ｅ ｈ ｌ ｇｙ ｎ ｉ ｅ ｎｔ ａ ｅ ｏ ＮＤＩ ｋ ｔ ｐ ｃ ｔ ｉ ｔ ｒ ｅｐ ｉ ｔ ｃ ｎｏ ｏ ａ ｄ ｍｐｌ ｍｅ ｂ ｓ ｄ ｎ Ｓ ｉｔ ｒ ｄａ ｅ ａ ｒ ｎ ｅ ｍｅ ｉ ｔ ｌ ｙｅ