小弟这两天做一个小型的UDP协议栈,用的DDK的例子ndisprot修改的,现在还把协议栈放到应用层在做,把NDIS驱动当成一个访问网卡的接口,但是遇到一个奇怪的问题.

这个问题是在做arp协议的时候出现的,当我广播arp请求后,立刻读取网卡数据,不知道为什么,居然会把我发送的数据给读取出来,理论上应该是网卡收到数据后,会调用你注册的协议驱动里面的某个回调函数的.

在ndisprot中,收到数据后会把包缓存到一个队列中,当应用层有请求时才反馈给应用层,我在向ndisprot驱动发起读取请求的时候,不光会把发送的数据读取出来,而且ReadFile返回的读取到的字节数非常大,1244968 bytes.
在驱动中,ndisprot反馈应用层数据的时候,是通过如下代码计算的,DDK的代码应该不会有问题啊
           BytesRemaining = MmGetMdlByteCount(pIrp->MdlAddress);

        pNdisBuffer = NDIS_PACKET_FIRST_NDIS_BUFFER(pRcvPacket);

        //
        // Copy the data in the received packet into the buffer provided by the client.
        // If the length of the receive packet is greater than length of the given buffer,
        // we just copy as many bytes as we can. Once the buffer is full, we just discard
        // the rest of the data, and complete the IRP sucessfully even we only did a partial copy.
        //
        while (BytesRemaining && (pNdisBuffer != NULL))
        {
#ifndef WIN9X
            NdisQueryBufferSafe(pNdisBuffer, &pSrc, &BytesAvailable, NormalPagePriority);

            if (pSrc == NULL)
            {
                DEBUGP(DL_FATAL,
                    ("ServiceReads: Open %p, QueryBuffer failed for buffer %p\n",
                            pOpenContext, pNdisBuffer));
                break;
            }
#else
            NdisQueryBuffer(pNdisBuffer, &pSrc, &BytesAvailable);
#endif

            if (BytesAvailable)
            {
                ULONG       BytesToCopy = MIN(BytesAvailable, BytesRemaining);

                NPROT_COPY_MEM(pDst, pSrc, BytesToCopy);
                BytesRemaining -= BytesToCopy;
                pDst += BytesToCopy;
            }

            NdisGetNextBuffer(pNdisBuffer, &pNdisBuffer);
        }

        //
        //  Complete the IRP.
        //
        pIrp->IoStatus.Status = STATUS_SUCCESS;
        pIrp->IoStatus.Information = MmGetMdlByteCount(pIrp->MdlAddress) - BytesRemaining;

应用层读取如下代码:
PacketLength为以太网帧长度1514,ByteRead居然返回1244968,囧
bSuccess = (BOOLEAN)ReadFile(Handle,(LPVOID)pReadBuf,PacketLength,BytesRead,NULL);

那请问大牛们,这是怎么一回事呢

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)