Windows中Filter-Hook驱动程序..doc

Windows中Filter-Hook驱动程序 在Windows 2000和Windows XP中，System32\drivers目录下的ipfltdrv.sys是Microsoft提供的ip协议过滤驱动程序。它允许用户注册自己的ip数据报处理函数。在MSDN中有关于这方面内容的简短说明，位于Filter-Hook Driver Reference章节中。这一部分说明文档论述了filter-hook驱程实现的回调函数和该驱程用以注册回调函数的I/O控制码。回调函数是这类驱程的主体部分。操作系统提供的ip过滤驱动程序使用这个过滤钩子来判断ip数据包的处理方式。 所注册的过滤钩子是用PacketFilterExtensionPtr数据类型定义的。由于是使用函数的地址而不是函数的名字注册过滤钩子的入口点，所以可以自由的为过滤钩子函数命名。下面分别说明钩子的数据结构和注册该钩子的I/O控制码。 PacketFilterExtensionPtr 下面是他的定义。 typedef PF_FORWARD_ACTION (*PacketFilterExtensionPtr)( unsigned char *PacketHeader, unsigned char *Packet, unsigned int PacketLength, unsigned int RecvInterfaceIndex, unsigned int SendInterfaceIndex, IPAddr RecvLinkNextHop, IPAddr SendLinkNextHop ); 该类型就是过滤钩子的回调函数，他决定所有传过来的ip数据包的命运，是继续传递，还是丢掉，或者允许ip过滤驱动程序继续处理。 1. 参数 PacketHeader 指向该数据包的ip头部的指针。Filter-Hook驱动程序可以将其转换为IPHeader结构指针类型。 Packet Filter-Hook驱动程序接收到的包含数据包信息的缓冲区指针。该缓冲区不包含PacketHeader指针指向的ip协议头。 PacketLength 以字节为单位的Packet缓冲区的长度。该长度不包含ip协议头的大小。 RecvInterfaceIndex 数据包到达的接口适配器的序号。Filter-Hook驱动程序使用该序号访问接收数据包的适配器。 对于发送的数据包，该参数为INVALID_PF_IF_INDEX，并且参数RecvLinkNextHop的值没有意义。 SendInterfaceIndex 数据包发送的接口适配器的序号。如果数据包需要通过该适配器路由，可以通过简单网络协议（SNMP）查询路由表。 对于接收的数据包，该参数为INVALID_PF_IF_INDEX，并且参数SendLinkNextHop的值没有意义。 RecvLinkNextHop 如果接口适配器是一个多点（绑定多个ip地址？）接口，该参数为适配器接收该数据包时的ip地址。否则，该参数为ZERO_PF_IP_ADDR。 SendLinkNextHop 如果接口适配器是一个多点（绑定多个ip地址？）接口，该参数为适配器接发送数据包时的ip地址。否则，该参数为ZERO_PF_IP_ADDR。 2. 返回值 返回PF_FORWARD_ACTION枚举类型的值： PF_FORWARD 该返回值指示ip过滤驱动程序应该立刻将数据包转发到ip协议栈中。如果该数据包是本机需要的数据包，ip协议将其转发给上层协议处理，如果不是到本机的数据包，则ip将路由该数据包（如果此时路由功能被打开）。 PF_DROP 该返回值指示ip过滤驱动程序将立刻向ip协议栈发出丢弃响应。这时ip协议将丢弃该数据包。 PF_PASS 该返回值指示ip过滤驱动程序处理该数据包，并将结果动作返回到ip协议栈。如果Filter-Hook驱动程序认为不需要处理该数据包，则应该返回该值。 3. 注释 如果Filter-Hook驱动程序返回PF_PASS，ip过滤驱动程序将处理该数据包。在这种情况下，用户态应用程序可以