首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 编程技术
    3. 发新帖
[求助]WFP数据流层tcp数据拦截问题
发表于: 2022-8-4 10:35 8428

[求助]WFP数据流层tcp数据拦截问题

opq哲哥 活跃值
2022-8-4 10:35
8428

我做了一个关于tcp数据采集和篡改的项目，用了WFP的过滤框架注册了Stream层（FWPM_LAYER_STREAM_V4）回调，在回调中需要将tcp send数据拦截并传给应用层做业务处理，应用层会根据业务需求通知过滤驱动如果处理这包数据（放行、阻止或篡改）。
开发过程中我发现在stream层回调中 中断级别是dispatch，这导致我不能在过程中以wait方式与应用层交互，只能在处理中保存tcp send数据并设置阻止标志让本次回调通过，应用层业务处理后再通过inject stream的方式将篡改的数据重新注入流，这在tcp长连接是没问题的，但有些程序会是短连接，send数据后立刻断连，导致后注入的流无法发送。
请问大家有类似经历吗，请指导一下给些建议，多谢


[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・1
支持
分享
最新回复 (11)
opq哲哥
雪    币： 63
活跃值： (177)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
我尝试过注册FWPM_LAYER_ALE_ENDPOINT_CLOSURE_V4层回调，pend 关闭节点，但这一点用处都没有
2022-8-4 10:37
0
wx_0xC05StackOver
雪    币： 210
活跃值： (1707)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
你用微软的inject方案试一下 我记得IRQL Dispatch级别的问题应该需要直接drop这个包并把它reinject到协议栈中，等他再来的时候不是高IRQL级别才能完整处理，微软的WDK代码中有这个案例
2022-8-4 19:51
1
opq哲哥
雪    币： 63
活跃值： (177)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
wx_0xC05StackOver 你用微软的inject方案试一下 我记得IRQL Dispatch级别的问题应该需要直接drop这个包并把它reinject到协议栈中，等他再来的时候不是高IRQL级别才能完整处理，微软的WDK代码中 ...
我很感兴趣这个方案，但却找不到相关资料，有没有详细点的资料发我下，真的非常感谢
2022-8-5 10:18
0
opq哲哥
雪    币： 63
活跃值： (177)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
wx_0xC05StackOver 你用微软的inject方案试一下 我记得IRQL Dispatch级别的问题应该需要直接drop这个包并把它reinject到协议栈中，等他再来的时候不是高IRQL级别才能完整处理，微软的WDK代码中 ...
我找到了相关资料和例子，这个例子是在传输层上挂的，有没有在stream层的方案
2022-8-5 12:00
0
wx_0xC05StackOver
雪    币： 210
活跃值： (1707)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
opq哲哥 我找到了相关资料和例子，这个例子是在传输层上挂的，有没有在stream层的方案
要不这样 你去抄Wireshark的方案，wireshark用了npcap的驱动也是WFP的 他这里肯定有你要的东西 应为wireshark也是把数据回发到ring3的 https://npcap.com/dist/npcap-1.70.zip 这是npcap 1.7的sourcecode
2022-8-5 14:24
0
opq哲哥
雪    币： 63
活跃值： (177)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
wx_0xC05StackOver 要不这样 你去抄Wireshark的方案，wireshark用了npcap的驱动也是WFP的 他这里肯定有你要的东西 应为wireshark也是把数据回发到ring3的 https://npcap.c ...
非常感谢，我这就看下
2022-8-5 15:00
0
opq哲哥
雪    币： 63
活跃值： (177)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
其实还是有短连接的问题，程序tcp send后立刻close，后注入的不论是stream或packet都无法正常发送了
2022-8-5 16:34
0
opq哲哥
雪    币： 63
活跃值： (177)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
解决了，在stream callout里面引用net buffer list，这样可以阻止tcp close释放资源，并且我们inject stream也都可以正常发送，最后释放引用就好
2022-8-9 15:29
2
三杨
雪    币： 153
活跃值： (148)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
opq哲哥 解决了，在stream callout里面引用net buffer list，这样可以阻止tcp close释放资源，并且我们inject stream也都可以正常发送，最后释放引用就好
请问在FWPM_LAYER_STREAM_V4, 如何将修改过的数据重新注入,有推荐的网页或git项目吗? 谢谢
2022-9-14 13:38
0
一半人生
雪    币： 6064
活跃值： (12624)
能力值： ( LV12，RANK：312 )
在线值：
发帖
回帖
粉丝
私信
11 楼


opq哲哥 解决了，在stream callout里面引用net buffer list，这样可以阻止tcp close释放资源，并且我们inject stream也都可以正常发送，最后释放引用就好

WFP中所指NetBufferList回调中第三个参数？

FWPS_STREAM_CALLOUT_IO_PACKET* streamPacket;    
FWPS_STREAM_DATA* streamData;
streamPacket = (FWPS_STREAM_CALLOUT_IO_PACKET*) packet;
streamData = streamPacket->streamData;

// 改包或者需要重注
streamPacket->streamAction = FWPS_STREAM_ACTION_NONE;
streamPacket->countBytesRequired = 0;
streamPacket->countBytesEnforced = streamData->dataLength;
classifyOut->actionType = FWP_ACTION_BLOCK;
classifyOut->flags |= FWPS_CLASSIFY_OUT_FLAG_ABSORB;
classifyOut->rights &= ~FWPS_RIGHT_ACTION_WRITE;
最后于 2022-10-12 09:01 被一半人生编辑 ，原因：
2022-10-12 08:59
0
一半人生
雪    币： 6064
活跃值： (12624)
能力值： ( LV12，RANK：312 )
在线值：
发帖
回帖
粉丝
私信
12 楼
三杨 请问在FWPM_LAYER_STREAM_V4, 如何将修改过的数据重新注入,有推荐的网页或git项目吗? 谢谢
https://bbs.pediy.com/thread-268515.htm 评论区中的资源Netfilter SDK有你需要的过滤
2022-10-12 09:04
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//