WFP初探
WFP初探
参考资料
https://www.cnblogs.com/XYDsoft/articles/16857933.html
https://learn.microsoft.com/zh-cn/windows/win32/fwp/tcp-packet-flows
https://bot-man-jl.github.io/articles/?post=2018/Learn-TCP-IP-from-WFP-2
WFP简述
WFP（Windows Filtering Platform）驱动框架，WFP是在WIN7以上系统中TDI 的替代框架，提供了更加强大的内核网络数据包的过滤，拦截，修改等诸多功能
TCP三次握手在WFP的流动情况
首先连接建立过程：
server端调用 socket， bind， listen， accept 等函数接收客户端连接
client端调用 socket， connect 建立连接，
server
bind： FWPM_LAYER_ALE_BIND_REDIRECT_V4 这个支持win7以上系统
bind： FWPM_LAYER_ALE_RESOURCE_ASSIGNMENT_V4
listen: FWPM_LAYER_ALE_AUTH_LISTEN_V4 listen函数认证
接下来就是accept开始接收客户端的请求，首先接收到的是SYN数据包
SYN: FWPM_LAYER_INBOUND_IPPACKET_V4 SYN包首先进入IP层
SYN: FWPM_LAYER_INBOUND_TRANSPORT_V4 SYN包进入传输层
SYN: FWPM_LAYER_ALE_AUTH_RECV_ACCEPT_V4 SYN进入ALE层，确认建立连接，同时给客户端回复SYN-ACK数据包。
SYN-ACK: FWPM_LAYER_OUTBOUND_TRANSPORT_V4 回复的SYN-ACK数据包进入传输层
SYN-ACK: FWPM_LAYER_OUTBOUND_IPPACKET_V4 回复的SYN-ACK数据包进入IP层
然后就开始接收客户端发来的最后一个ACK数据包
ACK: FWPM_LAYER_INBOUND_IPPACKET_V4 ACK包首先进入IP层
ACK: FWPM_LAYER_INBOUND_TRANSPORT_V4 ACK进入传输层
FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4 ACK进入ALE层，这个时候就已经建立起了连接
client
bind： FWPM_LAYER_ALE_BIND_REDIRECT_V4 这个支持win7以上系统，（不管有没有显式调用bind函数，绑定操作都会发生）
bind： FWPM_LAYER_ALE_RESOURCE_ASSIGNMENT_V4
connect: FWPM_LAYER_ALE_CONNECT_REDIRECT_V4 win7以上系统
connect: FWPM_LAYER_ALE_AUTH_CONNECT_V4
接着发送SYN数据包
SYN: FWPM_LAYER_OUTBOUND_TRANSPORT_V4 SYN进入到传输层
SYN: FWPM_LAYER_OUTBOUND_IPPACKET_V4 SYN进入到IP层
接收到 SYN_ACK数据包
SYN-ACK: FWPM_LAYER_INBOUND_IPPACKET_V4 首先进入IP层
SYN-ACK: FWPM_LAYER_INBOUND_TRANSPORT_V4 进入到传输层
FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4 到达ALE层，内核建立起连接，同时回复ACK包给服务端。
ACK: FWPM_LAYER_OUTBOUND_TRANSPORT_V4 回复的ACK包进入传输层
ACK: FWPM_LAYER_OUTBOUND_IPPACKET_V4 回复的包进入IP层
上述流程的简述和实际应用
WFP可以在
1. 应用层(数据流层),捕获修改网络数据
2. 传输层,捕获修改TCP,UDP数据包
3. 网际层,捕获修改IP数据包
4. 链路层,捕获修改以太网卡MAC地址的链路层数据包(注意:WIN8.1以上系统才包含这层)
层级简要记录
FWPM_LAYER_INBOUND_IPPACKET_V4
FWPM_LAYER_OUTBOUND_IPPACKET_V4
INBOUND/OUTBOUND 输入和输出
IPPACKET 代表网络层
TRANSPORT 代表传输层
V4/V6 IPV4/IPV6
1. 想做流量拦截,例如阻止本机所有的出网流量 挂载在 FWPM_LAYER_OUTBOUND_IPPACKET_V4 这层拦截所有的包即可
2. 做驱动层的端口转发 挂载在 FWPM_LAYER_INBOUND_IPPACKET_V4 这层找到ip包头的来去地址修改即可
3. tcp流量数据修改 挂载在 FWPM_LAYER_INBOUND_TRANSPORT_V4 这层即可获取到tcp传输的数据
创建过滤点(也就是代码到底怎么写)
1. 添加一个子层 FwpmSubLayerAdd 排除干扰
2. 注册呼出函数 FwpsCalloutRegister
3. 添加呼出接口函数 FwpmCalloutAdd
4. 添加过滤器 FwpmFilterAdd
以上4步都完成后会把以下函数添加到WFP的callback中
static void NTAPI callifyFn0(
IN const FWPS_INCOMING_VALUES0* inFixedValues,
IN const FWPS_INCOMING_METADATA_VALUES0* inMetaValues,
IN OUT void* layerData, //如果是在传输层，IP层，数据层，指向 NET_BUFFER_LIST类型的参数
IN const FWPS_FILTER0* filter,
IN UINT64 flowContext,
OUT FWPS_CLASSIFY_OUT0* classifyOut)
{
//这层的数据包怎么处理就是你说的算了,你把这个包丢了,后面的层也就收不到了
//这层修改了包,后面的层就会收到修改后的包
}
代码示例
1. https://github.com/minglinchen/WinKernelDev/tree/master/WfpSample/WfpSample <Windows内核编程> 中的示例,一个简单的阻止流量的例子
2. https://github.com/microsoft/Windows-driver-samples/tree/main/network/trans/ddproxy 微软出示的示例 很原始的例子
3. https://github.com/BOT-Man-JL/WFP-Traffic-Redirection-Driver 一个匿名通信项目,代码进行了一定程度的封装
