简介面向Windows底层网络开发者的LSP注入技术资源使用C语言展示本地服务提供者的编写与注入全流程重点解决FTP协议传输和Socket通信的拦截、监控与修改需求。压缩包共13个文件包括3个cpp源文件、2个h头文件和1个dll动态库还包含2组dsp/dsw工程文件、ini配置文件及def模块定义整体仅52KB结构清晰且覆盖工程构建与配置要素。内容涵盖LSP DLL的示例代码、注册并加载到Winsock目录的操作说明、注入进程与挂钩Socket的关键实现并提供FTP客户端与服务器之间的测试用例。这套小型工程串联起项目配置、代码实现到验证的完整链路学习者可据此理解LSP在协议栈中的位置掌握自定义网络过滤逻辑的方法。已有324人学习下载适合具备C基础、希望深入掌握网络协议栈及流量监控技术的开发者与安全研究人员参考。1. LSP 拦截 FTP不值得神化但值得把机制吃透拿到 LSPInject.rar 这个包时我的第一反应是「又一个上古世纪的 Winsock 拦截 Demo」。但拆完源码后我得说句公道话LSP 注入虽然已经被微软官方打入冷宫但理解它的协议链机制对搞懂 Windows 网络栈的底层调度、以及后来上手 WFPWindows Filtering Platform帮助是巨大的。这个包的核心价值就一句话用 C 写一个 LSP DLL注册进 Winsock 目录后所有用到 socket 的进程——包括 FTP 客户端——发出去的 connect、send、recv 都会先经过你的 DLL。你不需要解析 FTP 协议本身因为 FTP 控制通道是明文文本数据通道是独立 socketLSP 在 socket 层就能通吃。适合谁想搞懂网络拦截原理的 C 开发者、需要给老项目加流量审计的维护者、以及准备转 WFP 但想先看一套完整链路的从业者。2. LSP 到底拦在哪一层协议链、WSAPROTOCOL_INFO 与 WSPStartup 的启动顺序2.1 Winsock 目录不是你想的那种「目录」LSP 的全称是 Layered Service Provider分层服务提供程序。Windows 的 Winsock2 有一套自己的服务提供者机制叫 Winsock Catalog它不是一个磁盘文件夹而是一套注册表里的协议链配置。系统里每一个 socket 操作最终都要落到某个传输服务提供者比如 TCP/IP 的 mswsock.dll头上。而 LSP 做的事情是在真正干活的传输提供者前面再插一层自己的 DLL。这套机制的入口是WSPStartup。每个 Winsock 进程在第一次调用socket()时ws2_32.dll会去 Catalogs 里找匹配的协议链然后从上往下依次加载链里的 LSP DLL。你的 LSP 必须向下调用下一层 Provider 的函数才能让数据继续往前走。换句话说LSP 不是 hook不是 detour它是一级合法的、系统主动加载的转发节点。// WSPStartup 的骨架拿到下层 Provider 的函数表 int WSPAPI WSPStartup( WORD wVersionRequested, LPWSPDATA lpWSPData, LPWSAPROTOCOL_INFOW lpProtocolInfo, WSPUPCALLTABLE upcallTable, LPWSPPROC_TABLE lpProcTable) { // 1. 从 lpProtocolInfo 里读出下层 Provider 的 Catalog Entry ID // 这个 ID 是注册 LSP 时写死的必须和注册信息一致 int iProtocolInfoSize sizeof(WSAPROTOCOL_INFOW); WSAPROTOCOL_INFOW NextProtocolInfo; // 2. 用 WSCGetProviderPath 找到下一层 DLL 的磁盘路径 WSCGetProviderPath(lpProtocolInfo-ProviderId, szProviderPath, iProviderPathLen, dwErr); // 3. LoadLibrary 下一层 DLL再调它的 WSPStartup // 拿到下一层的函数表后续 WSPConnect / WSPSend / WSPRecv // 必须要转发给这个表中的对应函数 hNextDll LoadLibrary(szProviderPath); pNextWSPStartup (LPWSPSTARTUP)GetProcAddress(hNextDll, WSPStartup); pNextWSPStartup(wVersionRequested, lpWSPData, NextProtocolInfo, upcallTable, NextProcTable); // 4. 把自己的函数表填进 lpProcTable同时保存 NextProcTable 备用 lpProcTable-lpWSPConnect WSPConnect; lpProcTable-lpWSPSend WSPSend; lpProcTable-lpWSPRecv WSPRecv; memcpy(g_NextProcTable, NextProcTable, sizeof(NextProcTable)); return 0; }这套骨架里有几个关键参数必须理解。lpProtocolInfo是当前 LSP 在协议链中的身份信息里面带了 ProviderId 和链的深度upcallTable是 ws2_32.dll 给 LSP 的回调表用于异步事件通知比如WSPEventSelectlpProcTable是 LSP 要填写的函数指针表ws2_32.dll 以后调 socket 操作时就是通过这张表找到你的实现。如果你偷懒直接把NextProcTable整个抄给lpProcTable那你的 LSP 就是一个透明转发层什么也不拦。2.2 为什么是 LSP 而不是 API Hook很多玩过网络拦截的人第一反应是Detour或Inline Hook去 hookws2_32.dll的send/recv。这条路当然也能走到 socket 拦截但有个致命弱点Hook 是进程级的你得先注入到目标进程里才能生效而且注入时机、被杀软查、被强签名校验拦每一步都是坑。LSP 的做法不一样。它是直接改 Winsock Catalog 的注册表配置系统在加载任何使用 Winsock 的进程时都会自动按协议链把 LSP DLL 拉进来。你不需要CreateRemoteThread不需要SetWindowsHookEx甚至不需要知道目标进程什么时候启动。FTP 客户端、浏览器、IE 内核程序只要调用socket()你的 LSP 代码就在进程里了。这才是「LSP 方式注入到进程」的真实含义——它不是主动注入而是被系统请进来的。代价是什么LSP 只能拦截 Winsock1.1 / Winsock2 范畴内的网络操作。如果是内核态驱动直接发包或者绕过 Winsock 自己封包的程序LSP 完全看不见。比如某些老式游戏的反外挂模块直接走AFD.SYS内核接口LSP 就拿它没辙。所以 LSP 的适用边界是所有基于 Winsock API 的标准网络程序尤其是 FTP、HTTP、SMTP 这类明文协议。2.3 协议链的注册信息长什么样LSP 要生效必须在系统里注册自己的协议信息。这个注册动作会往 Winsock Catalog 里插入一条记录记录里包含 Provider 的 DLL 路径、支持的地址家族AF_INET、协议类型、以及链的上下级关系。FTP 走的 TCP所以 LSP 要注册的是 SOCK_STREAM IPPROTO_TCP 这条链。常用做法是用微软提供的WSCInstallProvider和WSCWriteProviderOrder这两个 API 来写注册表。InstDemo 这个示例工程里宿主程序会先调用WSCInstallProvider把 LSP 加到目录里然后调用WSCWriteProviderOrder把 LSP 调整到传输提供者的前面这样协议链才是「LSP → TCP/IP」而不是「LSP 排在后面根本不会被加载」。这个顺序问题在后面的避坑章节我会专门展开这里先留个印象——顺序错了LSP 就是摆设。// 注册 LSP 的核心调用WSCInstallProvider 的常见填法 // 注意这段代码来自示例实际使用时 ProviderId 要自己生成 GUID ProviderGuid { /* 用 UuidCreate 生成的 GUID */ }; WSCInstallProvider( ProviderGuid, // LSP 的唯一标识 LC:\\MyLSP\\LSP.dll, // DLL 的绝对路径 NULL, 0, // 可选的服务信息 lpProtocolInfoList, // WSAPROTOCOL_INFOW 数组描述链的所有层 dwNumberOfProtocols, // 数组元素个数 lpErr);这里lpProtocolInfoList是整个注册动作里最核心的数据结构。它是一个WSAPROTOCOL_INFOW数组数组里要按顺序写清楚每一层的信息最上面是自己LSP 层往下是下一层的传输提供者比如 TCP/IP 的 mswsock。每一层的dwProviderFlags、iAddressFamily、iProtocol都不能填错否则系统加载链时会直接失败。一般做法是先枚举现有 Catalog拿到 TCP/IP 那层的WSAPROTOCOL_INFOW把它复制一份改掉dwProviderFlags加上PFL_HIDDEN和PFL_MATCHES_PROTOCOL_ZERO再插到自己的信息后面。3. 拆包看源码InstDemo 宿主、LSP.dll 与 ConfigFile 各自管什么3.1 文件清单与职责划分这个压缩包里的文件构成很典型是一个完整的 VC6 时代 LSP 工程。InstDemo.dsw是工作区InstDemo.dsp是宿主程序工程LSP.dsp是 LSP DLL 工程。LSP.dll是被InstDemo.exe加载或注册的动态库InstDemo.cpp是宿主程序的入口负责注册、卸载和触发演示。LSP.cpp是 LSP 的主体实现里面是WSPStartup以及各个WSP*转发函数的定义。LSP.def是 DLL 的导出定义文件它决定了哪些函数可以被外部调用这是 LSP 能工作的关键——ws2_32.dll是通过查 LSP 的导出表来加载它的。文件角色关键内容InstDemo.cpp宿主程序调用 WSCInstallProvider 注册/卸载 LSPLSP.cppLSP 主体WSPStartup 及各 WSP* 转发实现LSP.def导出定义仅导出 WSPStartup 等必要符号ConfigFile.cpp / ConfigFile.h配置模块读取 ini 或规则配置决定哪些目标需要拦截Debug.h调试宏封装 OutputDebugString 输出调试信息LSP.dsp / LSP.dsw工程文件VC6 的 DLL 工程配置InstDemo.dsp / InstDemo.dsw工程文件VC6 的 EXE 工程配置LSP.def的内容值得单独看一眼。一个标准的 LSP DLL导出表里最常见的只有WSPStartup这一个函数。没错就这么一个。系统加载 LSP 时只调WSPStartup拿到函数表之后后续所有操作都走函数指针不再继续用GetProcAddress找别的导出名。所以LSP.def里通常只有一行EXPORTS WSPStartup。如果你看到某个 LSP 工程导出了一大堆函数那多半是它还要给宿主程序提供配置查询、统计上报之类的辅助接口跟系统调用无关。3.2 ConfigFile 模块拦截规则的入口ConfigFile这个文件很关键。LSP DLL 本身在每次进程加载时都会被拉起如果每次WSPConnect都拦截所有流量那系统基本就瘫了。所以实际工程里LSP 需要一份配置文件来决定「谁值得拦」。这个包里的 ConfigFile 就是干这个的。// ConfigFile 的典型用法读取 ini 配置决定是否拦截目标地址 // 这里还原的是这类 LSP 工程最常见的做法 BOOL IsTargetAddress(SOCKADDR_IN *addr) { // 1. 读取配置文件里的 IP 黑名单比如 block_list 192.168.1.100 char szIP[64] {0}; inet_ntop(AF_INET, addr-sin_addr, szIP, sizeof(szIP)); char szBlockList[1024] {0}; GetPrivateProfileStringA(Rule, block_list, , szBlockList, sizeof(szBlockList), C:\\LSPInject\\config.ini); // 2. 简单比较命中黑名单则拦截 if (strstr(szBlockList, szIP) ! NULL) { return TRUE; // 记录日志、修改数据、或者断开都行 } return FALSE; }参数说明inet_ntop是把二进制的in_addr转成点分十进制字符串这一步是为读配置做准备的GetPrivateProfileStringA是读 ini 的标准 API老项目里到处都能见到它如果配置项不存在就返回默认空串。这里只做了 IP 匹配实际项目中还可以加端口匹配、进程名匹配甚至按时间窗口做开关。还有一个细节GetPrivateProfileString的缓冲区解析方式很粗暴用逗号分隔多个 IP 时注意配置格式统一我见过有人既用逗号分割又用换行分割结果匹配失效的翻车现场。3.3 Debug.h 的作用别瞧不起 OutputDebugStringDebug.h在包里的定位是调试辅助。LSP DLL 是被动加载到目标进程里的你不能像调试普通 EXE 那样直接附加。OutputDebugString配合 DebugView 工具是 LSP 开发最常用的调试手段。你需要理解一个事实LSP 里不能随意弹 MessageBox因为你的 DLL 可能加载在系统进程里弹窗会挂起整个系统。所有日志走OutputDebugString在开发机上用 DebugView 过滤LSP_前缀就能看到实时日志。// Debug.h 里的调试宏其实就是一层封装 #define LSP_LOG(fmt, ...) \ do { \ char szDbg[512] {0}; \ _snprintf(szDbg, sizeof(szDbg) - 1, [LSP] fmt, \ __VA_ARGS__); \ OutputDebugStringA(szDbg); \ } while(0)__VA_ARGS__是可变参数宏用于把printf风格的参数透传给_snprintf。使用技巧调试时在 DebugView 里勾选Capture Global Win32 Output才能看到所有进程的输出发布时把LSP_LOG定义成空宏即可。另外注意_snprintf的返回值在缓冲区溢出时是负数这里的写法是早期代码常见的保守风格。3.4 InstDemo 的完整注册动作InstDemo.cpp不只是注册 LSP 那么简单它还负责卸载。LSP 的卸载比注册更讲究——必须用WSCDeinstallProvider而且要传对 Provider GUID。如果 GUID 传错系统里会残留一条指向不存在 DLL 的目录项轻则socket()调用返回 WSAEINVALIDPROVIDER重则整个 Winsock 目录损坏所有网络程序跑不起来。这个包里的宿主程序把注册、卸载、演示三个功能集中在了一起用命令行参数区分模式。实际使用时不要盲目点运行先看清楚它是不是默认执行了注册动作。// InstDemo 的卸载流程示意 // 常见做法先取回当初生成的 GUID再执行卸载 GUID ProviderGuid { /* 必须与注册时一致 */ }; if (WSCDeinstallProvider(ProviderGuid, Err) SOCKET_ERROR) { // 卸不掉时的第一步去注册表看 Protocols_Catalog 里还有没有残留 LSP_LOG(WSCDeinstallProvider failed: %u, GetLastError()); }4. 编译与注册VC6 工程还原、Winsock 目录写入与 FTP 拦截实跑4.1 VC6 工程移植到 VS2015 的问题这个包是 VC6Visual Studio 6.0时代的东西.dsp/.dsw工程文件在 Visual Studio 2015 之后的版本里没法直接打开。但代码本身是纯 Win32 API C没有用 VC6 特有的语法所以直接新建一个空 DLL 工程把LSP.cpp、ConfigFile.cpp加进去再用LSP.def指定导出编译基本不需要改代码。唯一要注意的是字符集问题。VC6 默认是多字节字符集而新版本 Visual Studio 默认 Unicode。如果LSP.cpp里有TCHAR或LPSTR的隐性转换编译会报错。我一般直接把工程的字符集改成「未设置」让代码恢复 VC6 时代的默认行为这样改动最小。另外链接器设置里要记得把LSP.def加进来否则WSPStartup不会被导出加载时系统会报「无法定位程序输入点」。# 编译产物检查用 dumpbin 看导出表是否只有 WSPStartup dumpbin /exports LSP.dll输出里应该能看到一行WSPStartup在导出表里。如果dumpbin没找到检查工程属性里的模块定义文件路径是否正确。Windows SDK 自带的dumpbin工具需要从「开发者命令行」启动路径里带了环境变量直接在 cmd 里跑多半会提示找不到。4.2 注册 LSP 到 Winsock Catalog命令行与代码两条路注册 LSP 有两种方式一种是把InstDemo编译成 exe 然后跑它的注册逻辑另一种是直接写一个小的安装脚本调用注册 API。这里更推荐用代码方式因为 LSP 的注册参数比较多脚本方式容易漏参数。在工程源码中InstDemo.cpp的注册逻辑最核心的参数是lpProtocolInfoList。你需要枚举当前系统 Winsock Catalog 里 TCP/IP 那层的WSAPROTOCOL_INFOW然后复制并修改dwProviderFlags再加上自己的 Provider GUID 和 DLL 路径构建出一条新的协议链。如果你的 DLL 路径里有非 ASCII 字符记得用宽字符版本 API。// 注册前枚举 Winsock Catalog 拿 TCP/IP 的协议信息 // 这是微软文档里推荐的 LSP 注册前置步骤 WSAPROTOCOL_INFOW ProtocolInfo[10]; DWORD dwSize sizeof(ProtocolInfo); WSCEnumProtocols(NULL, ProtocolInfo, dwSize, dwErr); for (DWORD i 0; i dwSize / sizeof(WSAPROTOCOL_INFOW); i) { if (ProtocolInfo[i].iAddressFamily AF_INET ProtocolInfo[i].iProtocol IPPROTO_TCP (ProtocolInfo[i].dwProviderFlags PFL_SENDER)) { // 这就是 TCP/IP 传输提供者复制一份待用 memcpy(NextProviderInfo, ProtocolInfo[i], sizeof(WSAPROTOCOL_INFOW)); break; } }参数说明WSCEnumProtocols返回系统里所有已安装的网络提供者信息数组iAddressFamily AF_INET过滤出 IPv4iProtocol IPPROTO_TCP过滤出 TCPPFL_SENDER表示这是一个能独立建立连接的传输提供者而非分层提供者。用memcpy备份这份信息是为了在下一个步骤里修改它来构造自己的链信息。4.3 FTP 拦截实跑从安装到看到明文装好 LSP 之后怎么验证它真的拦截到了 FTP 数据不要打开抓包工具不要去看 FTP 服务器的日志直接在 LSP 的WSPSend和WSPRecv里加打印把数据长度和内容头部打印出来。下面这段代码是WSPRecv的示意实跑时你需要在你的 LSP 工程里找到对应的函数位置把它替换为你自己的实现。// WSPRecv 的钩子写法只打印不动数据验证通了再加逻辑 int WSPAPI WSPRecv( SOCKET s, LPWSABUF lpBuffers, DWORD dwBufferCount, LPDWORD lpNumberOfBytesRecvd, LPDWORD lpFlags, LPWSAOVERLAPPED lpOverlapped, LPWSAOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine, LPWSATHREADID lpThreadId, LPINT lpErr) { // 先调下一层真正干活 int ret g_NextProcTable.lpWSPRecv( s, lpBuffers, dwBufferCount, lpNumberOfBytesRecvd, lpFlags, lpOverlapped, lpCompletionRoutine, lpThreadId, lpErr); // 返回后数据已经在 lpBuffers 里打印前几个字节 if (ret ! SOCKET_ERROR lpBuffers *lpNumberOfBytesRecvd 0) { char szBuf[128] {0}; memcpy(szBuf, lpBuffers[0].lpBuf, min(*lpNumberOfBytesRecvd, 127)); LSP_LOG(RECV %u bytes: %s, *lpNumberOfBytesRecvd, szBuf); } return ret; }这段代码有两点必须说清楚。第一lpBuffers是WSABUF数组不是单个缓冲区异步和分散/聚集 I/O 场景下别只取lpBuffers[0]否则数据不完整。第二你打印的是下一层已经接收到的数据对 FTP 这种 ASCII 明文协议控制通道里能看到USER anonymous、PASS xxx、RETR file.txt等指令数据通道是二进制受文件类型影响不一定能直接按字符串打。# 在 FTP 客户端执行连接本地 FTP 服务器 ftp 127.0.0.1 user test pass 123456 # 同时观察 DebugView 里的 LSP_RECV 日志如果这里能打印出USER test说明 LSP 生效了。打印不出先看WSPStartup有没有被调用再加日志验证协议链是否正确。这个排查顺序非常重要。4.4 卸载 LSP不要直接删 DLL卸载 LSP 的坑比安装深。直接删除LSP.dll文件是错误操作——Winsock Catalog 里那条协议链还指向这个路径系统启动任何网络程序时都会去加载一个不存在的 DLL随之而来的是 WinSock 初始化失败网络功能整体瘫痪。正确的卸载顺序是先WSCDeinstallProvider删目录项再删文件。而且卸载后必须重启所有正在使用网络程序的进程因为已经加载的 LSP DLL 不会自动释放。// 卸载后验证列出当前 Catalog 里还剩哪些提供者 // 这个调用用于确认你的 LSP 已经不在链里了 DWORD dwSize 0; WSCEnumProtocols(NULL, NULL, dwSize, dwErr); // 第一次调用拿所需大小 WSAPROTOCOL_INFOW *pInfo new WSAPROTOCOL_INFOW[dwSize / sizeof(WSAPROTOCOL_INFOW)]; WSCEnumProtocols(NULL, pInfo, dwSize, dwErr); delete[] pInfo;WSCEnumProtocols第一次传入空缓冲区时dwErr会返回WSAENOBUFS但dwSize会拿到所需字节数。第二次再带缓冲区调用函数正常返回。这个「先问大小再申请」的模式在 Winsock 枚举类 API 里很常见WSCEnumProtocols、WSAEnumProtocols都是这套逻辑。5. 避坑实录LSP 注入最常见的五个翻车现场5.1 现象注册后所有 socket 程序 CPU 占用拉满系统卡死原因WSPRecv或WSPSend里没有正确转发到下一层导致数据在协议链里打转或者在每次调用时消耗了超额资源。最常见的是在钩子里拦截了所有流量然后又同步调用了下一层两个层之间每次收发包都做额外拷贝大流量瞬间压力上来就卡死。这个包里的LSP.dll如果直接在真实网络环境里跑不加以控制的话很容易暴露这个问题。解决在钩子里只处理「需要拦截」的流量其他流量直接透传。判断依据可以用ConfigFile的IsTargetAddress返回 FALSE 就直接走g_NextProcTable对应函数不做任何额外处理。另外不要在WSPRecv的同步路径里做日志格式化、磁盘写操作——磁盘 I/O 会拖垮收发性能日志输出先攒内存缓冲区再异步写是更稳妥的工程做法。提示LSP 的转发路径上任何额外操作都会影响所有网络程序的时延。实跑时先只过滤 127.0.0.1 的流量验证逻辑后再慢慢放开范围。5.2 现象64 位系统上明明注册成功但 64 位程序就是拦截不到原因Winsock Catalog 有 32 位和 64 位两套独立注册表。WSCInstallProvider在 32 位程序里调用时默认写的是 32 位 Catalog在 64 位程序里写的才是 64 位 Catalog。如果你的InstDemo.exe编译成了 32 位而目标 FTP 客户端是 64 位的 FileZilla两边根本不在一个目录里LSP 自然拦不到。解决分别编译 32 位和 64 位版本的宿主程序各自注册一次。或者用 Windows 的WOW64重定向机制让 32 位进程通过WSCInstallProvider的 64 位版本 API 写入 64 位 Catalog。我一般直接写两个安装批处理分别跑InstDemo_x86.exe和InstDemo_x64.exe清晰可靠。5.3 现象卸载后系统网络异常重启后socket()返回 WSAEINVALIDPROVIDER原因WSCDeinstallProvider卸载时只删了协议链里自己那层但下层的传输提供者信息也被连带标记成了无效或者卸载顺序不对——先把 TCP/IP 传输提供者卸了链的下层没了上面所有请求都找不到出口。另一个常见原因是你在 LSP 还在被进程使用时直接卸载DLL 未被释放文件被占用导致卸载不彻底。解决使用FTP.exe、浏览器等所有网络程序后再执行卸载。如果已经出现WSAEINVALIDPROVIDER用netsh winsock reset重置 Winsock Catalog这会恢复系统默认的传输提供者配置然后重新注册你的 LSP。注意netsh winsock reset会卸载所有第三方 LSP包括系统安全软件的网络监控组件执行后需要重启系统并在重启后重装安全软件。# Winsock 目录损坏时的第一手段 netsh winsock reset # 重启后检查目录是否恢复正常 netsh winsock show catalognetsh winsock reset的工作原理是重写HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2下的Parameters注册表项。这个操作会把 Catalog 恢复成系统默认状态。如果你先前注册的 LSP 在Protocol_Catalog9和NameSpace_Catalog5里都有残留reset 会一并清掉。5.4 现象LSP 在 Debug 版能拦截Release 版怎么都不生效原因Debug 和 Release 版注册表写入路径不同或者你的安装程序注册的是 Debug 版的 DLL 路径之后升级 Release 版没更新路径系统一直加载旧路径的 DLL。我见过一个更隐蔽的情况DLL 编译成了不同名字LSPd.dll和LSP.dll协议链里记的是旧名字Release 版 DLL 根本没被加载。解决先netsh winsock show catalog看链里指向的 DLL 路径确认路径和文件名正确。但更值得做的是一套严格流程卸载旧版 → 删除 DLL 文件 → 注册新版 → 重启验证。不要觉得麻烦LSP 的注册信息是系统全局的路径错一个字符就会加载失败。5.5 现象杀毒软件报毒或者 DLL 被隔离原因LSP 技术是恶意软件的经典手段绝大多数杀毒软件对 LSP DLL 的行为特征极度敏感。你的 DLL 要注入系统网络栈、要改 Winsock Catalog这本身就是危险信号杀软没有误报不报只有报得准不准的问题。解决这不是技术问题是合规问题。我只建议在隔离的虚拟机或专用测试机上做 LSP 开发不放在工作机和日常系统上实跑。另外如果你在开发能正常工作的 LSP尽量给你的 DLL 做代码签名杀软的误报率会明显下降但仍不能保证 100% 不报。把它看作这个技术路线固有的成本即可不必在杀软白名单上花太多时间。6. 验证技巧如何确认 LSP 真的拦截到了 FTP 数据验证 LSP 是否生效我有一套固定流程从轻到重每一步都在前一步不通过时才往下走。第一步netsh winsock show catalog确认协议链里有你的 Provider。看Protocol_Catalog9条目下有没有LSP.dll的路径以及它的 LSP 类型是否被识别为分层服务提供程序。这一步能确认注册成功但不能确认加载成功。第二步用 DebugView 观察WSPStartup的调用日志。随便开一个网络程序比如浏览器访问一个网页如果 DebugView 里立刻出现你的WSPStartup日志说明协议链加载正常。这一步能确认加载但不能确认拦截。第三步打开 FTP 客户端连一个你控制的 FTP 服务器观察WSPRecv日志里是否出现USER / PASS / LIST / RETR关键词。这一步能确认拦截。如果到这里全通了LSP 才算是真正接入了你手头的场景。# 一次性完成注册检查 netsh winsock show catalog | findstr /i LSP.dll # 在 DebugView 里过滤 [LSP] 前缀观察实时日志顺带讲一个边界LSP 天然适合拦截 FTP 是因为 FTP 是明文协议如果目标是 HTTPSLSP 只能看到 TLS 握手的 ClientHello数据内容是加密的。看到这里你可以理解LSP 的能力边界是「socket 层收发的字节流」不是「解密后的应用层数据」。后续要处理加密流量要么在目标进程里做证书替换要么用 WFP 配合解密的中间人方案那是另一套工程了。做这套验证的时候我习惯把WSPRecv的日志格式写成一行一条时间戳、socket 句柄、数据长度、数据内容前 64 字节。这么做的好处是将来排查问题时可以直接从日志里还原当时的流量上下文。从那次为了确认一个 FTP 客户端「登录失败但抓包看不出原因」的问题后我每次拿到 LSP 项目都强制走一遍注册 → 加载 → 拦截三级验证不在流程上省时间。希望帮到你。本文还有配套的精品资源点击获取
简介面向Windows底层网络开发者的LSP注入技术资源使用C语言展示本地服务提供者的编写与注入全流程重点解决FTP协议传输和Socket通信的拦截、监控与修改需求。压缩包共13个文件包括3个cpp源文件、2个h头文件和1个dll动态库还包含2组dsp/dsw工程文件、ini配置文件及def模块定义整体仅52KB结构清晰且覆盖工程构建与配置要素。内容涵盖LSP DLL的示例代码、注册并加载到Winsock目录的操作说明、注入进程与挂钩Socket的关键实现并提供FTP客户端与服务器之间的测试用例。这套小型工程串联起项目配置、代码实现到验证的完整链路学习者可据此理解LSP在协议栈中的位置掌握自定义网络过滤逻辑的方法。已有324人学习下载适合具备C基础、希望深入掌握网络协议栈及流量监控技术的开发者与安全研究人员参考。1. LSP 拦截 FTP不值得神化但值得把机制吃透拿到 LSPInject.rar 这个包时我的第一反应是「又一个上古世纪的 Winsock 拦截 Demo」。但拆完源码后我得说句公道话LSP 注入虽然已经被微软官方打入冷宫但理解它的协议链机制对搞懂 Windows 网络栈的底层调度、以及后来上手 WFPWindows Filtering Platform帮助是巨大的。这个包的核心价值就一句话用 C 写一个 LSP DLL注册进 Winsock 目录后所有用到 socket 的进程——包括 FTP 客户端——发出去的 connect、send、recv 都会先经过你的 DLL。你不需要解析 FTP 协议本身因为 FTP 控制通道是明文文本数据通道是独立 socketLSP 在 socket 层就能通吃。适合谁想搞懂网络拦截原理的 C 开发者、需要给老项目加流量审计的维护者、以及准备转 WFP 但想先看一套完整链路的从业者。2. LSP 到底拦在哪一层协议链、WSAPROTOCOL_INFO 与 WSPStartup 的启动顺序2.1 Winsock 目录不是你想的那种「目录」LSP 的全称是 Layered Service Provider分层服务提供程序。Windows 的 Winsock2 有一套自己的服务提供者机制叫 Winsock Catalog它不是一个磁盘文件夹而是一套注册表里的协议链配置。系统里每一个 socket 操作最终都要落到某个传输服务提供者比如 TCP/IP 的 mswsock.dll头上。而 LSP 做的事情是在真正干活的传输提供者前面再插一层自己的 DLL。这套机制的入口是WSPStartup。每个 Winsock 进程在第一次调用socket()时ws2_32.dll会去 Catalogs 里找匹配的协议链然后从上往下依次加载链里的 LSP DLL。你的 LSP 必须向下调用下一层 Provider 的函数才能让数据继续往前走。换句话说LSP 不是 hook不是 detour它是一级合法的、系统主动加载的转发节点。// WSPStartup 的骨架拿到下层 Provider 的函数表 int WSPAPI WSPStartup( WORD wVersionRequested, LPWSPDATA lpWSPData, LPWSAPROTOCOL_INFOW lpProtocolInfo, WSPUPCALLTABLE upcallTable, LPWSPPROC_TABLE lpProcTable) { // 1. 从 lpProtocolInfo 里读出下层 Provider 的 Catalog Entry ID // 这个 ID 是注册 LSP 时写死的必须和注册信息一致 int iProtocolInfoSize sizeof(WSAPROTOCOL_INFOW); WSAPROTOCOL_INFOW NextProtocolInfo; // 2. 用 WSCGetProviderPath 找到下一层 DLL 的磁盘路径 WSCGetProviderPath(lpProtocolInfo-ProviderId, szProviderPath, iProviderPathLen, dwErr); // 3. LoadLibrary 下一层 DLL再调它的 WSPStartup // 拿到下一层的函数表后续 WSPConnect / WSPSend / WSPRecv // 必须要转发给这个表中的对应函数 hNextDll LoadLibrary(szProviderPath); pNextWSPStartup (LPWSPSTARTUP)GetProcAddress(hNextDll, WSPStartup); pNextWSPStartup(wVersionRequested, lpWSPData, NextProtocolInfo, upcallTable, NextProcTable); // 4. 把自己的函数表填进 lpProcTable同时保存 NextProcTable 备用 lpProcTable-lpWSPConnect WSPConnect; lpProcTable-lpWSPSend WSPSend; lpProcTable-lpWSPRecv WSPRecv; memcpy(g_NextProcTable, NextProcTable, sizeof(NextProcTable)); return 0; }这套骨架里有几个关键参数必须理解。lpProtocolInfo是当前 LSP 在协议链中的身份信息里面带了 ProviderId 和链的深度upcallTable是 ws2_32.dll 给 LSP 的回调表用于异步事件通知比如WSPEventSelectlpProcTable是 LSP 要填写的函数指针表ws2_32.dll 以后调 socket 操作时就是通过这张表找到你的实现。如果你偷懒直接把NextProcTable整个抄给lpProcTable那你的 LSP 就是一个透明转发层什么也不拦。2.2 为什么是 LSP 而不是 API Hook很多玩过网络拦截的人第一反应是Detour或Inline Hook去 hookws2_32.dll的send/recv。这条路当然也能走到 socket 拦截但有个致命弱点Hook 是进程级的你得先注入到目标进程里才能生效而且注入时机、被杀软查、被强签名校验拦每一步都是坑。LSP 的做法不一样。它是直接改 Winsock Catalog 的注册表配置系统在加载任何使用 Winsock 的进程时都会自动按协议链把 LSP DLL 拉进来。你不需要CreateRemoteThread不需要SetWindowsHookEx甚至不需要知道目标进程什么时候启动。FTP 客户端、浏览器、IE 内核程序只要调用socket()你的 LSP 代码就在进程里了。这才是「LSP 方式注入到进程」的真实含义——它不是主动注入而是被系统请进来的。代价是什么LSP 只能拦截 Winsock1.1 / Winsock2 范畴内的网络操作。如果是内核态驱动直接发包或者绕过 Winsock 自己封包的程序LSP 完全看不见。比如某些老式游戏的反外挂模块直接走AFD.SYS内核接口LSP 就拿它没辙。所以 LSP 的适用边界是所有基于 Winsock API 的标准网络程序尤其是 FTP、HTTP、SMTP 这类明文协议。2.3 协议链的注册信息长什么样LSP 要生效必须在系统里注册自己的协议信息。这个注册动作会往 Winsock Catalog 里插入一条记录记录里包含 Provider 的 DLL 路径、支持的地址家族AF_INET、协议类型、以及链的上下级关系。FTP 走的 TCP所以 LSP 要注册的是 SOCK_STREAM IPPROTO_TCP 这条链。常用做法是用微软提供的WSCInstallProvider和WSCWriteProviderOrder这两个 API 来写注册表。InstDemo 这个示例工程里宿主程序会先调用WSCInstallProvider把 LSP 加到目录里然后调用WSCWriteProviderOrder把 LSP 调整到传输提供者的前面这样协议链才是「LSP → TCP/IP」而不是「LSP 排在后面根本不会被加载」。这个顺序问题在后面的避坑章节我会专门展开这里先留个印象——顺序错了LSP 就是摆设。// 注册 LSP 的核心调用WSCInstallProvider 的常见填法 // 注意这段代码来自示例实际使用时 ProviderId 要自己生成 GUID ProviderGuid { /* 用 UuidCreate 生成的 GUID */ }; WSCInstallProvider( ProviderGuid, // LSP 的唯一标识 LC:\\MyLSP\\LSP.dll, // DLL 的绝对路径 NULL, 0, // 可选的服务信息 lpProtocolInfoList, // WSAPROTOCOL_INFOW 数组描述链的所有层 dwNumberOfProtocols, // 数组元素个数 lpErr);这里lpProtocolInfoList是整个注册动作里最核心的数据结构。它是一个WSAPROTOCOL_INFOW数组数组里要按顺序写清楚每一层的信息最上面是自己LSP 层往下是下一层的传输提供者比如 TCP/IP 的 mswsock。每一层的dwProviderFlags、iAddressFamily、iProtocol都不能填错否则系统加载链时会直接失败。一般做法是先枚举现有 Catalog拿到 TCP/IP 那层的WSAPROTOCOL_INFOW把它复制一份改掉dwProviderFlags加上PFL_HIDDEN和PFL_MATCHES_PROTOCOL_ZERO再插到自己的信息后面。3. 拆包看源码InstDemo 宿主、LSP.dll 与 ConfigFile 各自管什么3.1 文件清单与职责划分这个压缩包里的文件构成很典型是一个完整的 VC6 时代 LSP 工程。InstDemo.dsw是工作区InstDemo.dsp是宿主程序工程LSP.dsp是 LSP DLL 工程。LSP.dll是被InstDemo.exe加载或注册的动态库InstDemo.cpp是宿主程序的入口负责注册、卸载和触发演示。LSP.cpp是 LSP 的主体实现里面是WSPStartup以及各个WSP*转发函数的定义。LSP.def是 DLL 的导出定义文件它决定了哪些函数可以被外部调用这是 LSP 能工作的关键——ws2_32.dll是通过查 LSP 的导出表来加载它的。文件角色关键内容InstDemo.cpp宿主程序调用 WSCInstallProvider 注册/卸载 LSPLSP.cppLSP 主体WSPStartup 及各 WSP* 转发实现LSP.def导出定义仅导出 WSPStartup 等必要符号ConfigFile.cpp / ConfigFile.h配置模块读取 ini 或规则配置决定哪些目标需要拦截Debug.h调试宏封装 OutputDebugString 输出调试信息LSP.dsp / LSP.dsw工程文件VC6 的 DLL 工程配置InstDemo.dsp / InstDemo.dsw工程文件VC6 的 EXE 工程配置LSP.def的内容值得单独看一眼。一个标准的 LSP DLL导出表里最常见的只有WSPStartup这一个函数。没错就这么一个。系统加载 LSP 时只调WSPStartup拿到函数表之后后续所有操作都走函数指针不再继续用GetProcAddress找别的导出名。所以LSP.def里通常只有一行EXPORTS WSPStartup。如果你看到某个 LSP 工程导出了一大堆函数那多半是它还要给宿主程序提供配置查询、统计上报之类的辅助接口跟系统调用无关。3.2 ConfigFile 模块拦截规则的入口ConfigFile这个文件很关键。LSP DLL 本身在每次进程加载时都会被拉起如果每次WSPConnect都拦截所有流量那系统基本就瘫了。所以实际工程里LSP 需要一份配置文件来决定「谁值得拦」。这个包里的 ConfigFile 就是干这个的。// ConfigFile 的典型用法读取 ini 配置决定是否拦截目标地址 // 这里还原的是这类 LSP 工程最常见的做法 BOOL IsTargetAddress(SOCKADDR_IN *addr) { // 1. 读取配置文件里的 IP 黑名单比如 block_list 192.168.1.100 char szIP[64] {0}; inet_ntop(AF_INET, addr-sin_addr, szIP, sizeof(szIP)); char szBlockList[1024] {0}; GetPrivateProfileStringA(Rule, block_list, , szBlockList, sizeof(szBlockList), C:\\LSPInject\\config.ini); // 2. 简单比较命中黑名单则拦截 if (strstr(szBlockList, szIP) ! NULL) { return TRUE; // 记录日志、修改数据、或者断开都行 } return FALSE; }参数说明inet_ntop是把二进制的in_addr转成点分十进制字符串这一步是为读配置做准备的GetPrivateProfileStringA是读 ini 的标准 API老项目里到处都能见到它如果配置项不存在就返回默认空串。这里只做了 IP 匹配实际项目中还可以加端口匹配、进程名匹配甚至按时间窗口做开关。还有一个细节GetPrivateProfileString的缓冲区解析方式很粗暴用逗号分隔多个 IP 时注意配置格式统一我见过有人既用逗号分割又用换行分割结果匹配失效的翻车现场。3.3 Debug.h 的作用别瞧不起 OutputDebugStringDebug.h在包里的定位是调试辅助。LSP DLL 是被动加载到目标进程里的你不能像调试普通 EXE 那样直接附加。OutputDebugString配合 DebugView 工具是 LSP 开发最常用的调试手段。你需要理解一个事实LSP 里不能随意弹 MessageBox因为你的 DLL 可能加载在系统进程里弹窗会挂起整个系统。所有日志走OutputDebugString在开发机上用 DebugView 过滤LSP_前缀就能看到实时日志。// Debug.h 里的调试宏其实就是一层封装 #define LSP_LOG(fmt, ...) \ do { \ char szDbg[512] {0}; \ _snprintf(szDbg, sizeof(szDbg) - 1, [LSP] fmt, \ __VA_ARGS__); \ OutputDebugStringA(szDbg); \ } while(0)__VA_ARGS__是可变参数宏用于把printf风格的参数透传给_snprintf。使用技巧调试时在 DebugView 里勾选Capture Global Win32 Output才能看到所有进程的输出发布时把LSP_LOG定义成空宏即可。另外注意_snprintf的返回值在缓冲区溢出时是负数这里的写法是早期代码常见的保守风格。3.4 InstDemo 的完整注册动作InstDemo.cpp不只是注册 LSP 那么简单它还负责卸载。LSP 的卸载比注册更讲究——必须用WSCDeinstallProvider而且要传对 Provider GUID。如果 GUID 传错系统里会残留一条指向不存在 DLL 的目录项轻则socket()调用返回 WSAEINVALIDPROVIDER重则整个 Winsock 目录损坏所有网络程序跑不起来。这个包里的宿主程序把注册、卸载、演示三个功能集中在了一起用命令行参数区分模式。实际使用时不要盲目点运行先看清楚它是不是默认执行了注册动作。// InstDemo 的卸载流程示意 // 常见做法先取回当初生成的 GUID再执行卸载 GUID ProviderGuid { /* 必须与注册时一致 */ }; if (WSCDeinstallProvider(ProviderGuid, Err) SOCKET_ERROR) { // 卸不掉时的第一步去注册表看 Protocols_Catalog 里还有没有残留 LSP_LOG(WSCDeinstallProvider failed: %u, GetLastError()); }4. 编译与注册VC6 工程还原、Winsock 目录写入与 FTP 拦截实跑4.1 VC6 工程移植到 VS2015 的问题这个包是 VC6Visual Studio 6.0时代的东西.dsp/.dsw工程文件在 Visual Studio 2015 之后的版本里没法直接打开。但代码本身是纯 Win32 API C没有用 VC6 特有的语法所以直接新建一个空 DLL 工程把LSP.cpp、ConfigFile.cpp加进去再用LSP.def指定导出编译基本不需要改代码。唯一要注意的是字符集问题。VC6 默认是多字节字符集而新版本 Visual Studio 默认 Unicode。如果LSP.cpp里有TCHAR或LPSTR的隐性转换编译会报错。我一般直接把工程的字符集改成「未设置」让代码恢复 VC6 时代的默认行为这样改动最小。另外链接器设置里要记得把LSP.def加进来否则WSPStartup不会被导出加载时系统会报「无法定位程序输入点」。# 编译产物检查用 dumpbin 看导出表是否只有 WSPStartup dumpbin /exports LSP.dll输出里应该能看到一行WSPStartup在导出表里。如果dumpbin没找到检查工程属性里的模块定义文件路径是否正确。Windows SDK 自带的dumpbin工具需要从「开发者命令行」启动路径里带了环境变量直接在 cmd 里跑多半会提示找不到。4.2 注册 LSP 到 Winsock Catalog命令行与代码两条路注册 LSP 有两种方式一种是把InstDemo编译成 exe 然后跑它的注册逻辑另一种是直接写一个小的安装脚本调用注册 API。这里更推荐用代码方式因为 LSP 的注册参数比较多脚本方式容易漏参数。在工程源码中InstDemo.cpp的注册逻辑最核心的参数是lpProtocolInfoList。你需要枚举当前系统 Winsock Catalog 里 TCP/IP 那层的WSAPROTOCOL_INFOW然后复制并修改dwProviderFlags再加上自己的 Provider GUID 和 DLL 路径构建出一条新的协议链。如果你的 DLL 路径里有非 ASCII 字符记得用宽字符版本 API。// 注册前枚举 Winsock Catalog 拿 TCP/IP 的协议信息 // 这是微软文档里推荐的 LSP 注册前置步骤 WSAPROTOCOL_INFOW ProtocolInfo[10]; DWORD dwSize sizeof(ProtocolInfo); WSCEnumProtocols(NULL, ProtocolInfo, dwSize, dwErr); for (DWORD i 0; i dwSize / sizeof(WSAPROTOCOL_INFOW); i) { if (ProtocolInfo[i].iAddressFamily AF_INET ProtocolInfo[i].iProtocol IPPROTO_TCP (ProtocolInfo[i].dwProviderFlags PFL_SENDER)) { // 这就是 TCP/IP 传输提供者复制一份待用 memcpy(NextProviderInfo, ProtocolInfo[i], sizeof(WSAPROTOCOL_INFOW)); break; } }参数说明WSCEnumProtocols返回系统里所有已安装的网络提供者信息数组iAddressFamily AF_INET过滤出 IPv4iProtocol IPPROTO_TCP过滤出 TCPPFL_SENDER表示这是一个能独立建立连接的传输提供者而非分层提供者。用memcpy备份这份信息是为了在下一个步骤里修改它来构造自己的链信息。4.3 FTP 拦截实跑从安装到看到明文装好 LSP 之后怎么验证它真的拦截到了 FTP 数据不要打开抓包工具不要去看 FTP 服务器的日志直接在 LSP 的WSPSend和WSPRecv里加打印把数据长度和内容头部打印出来。下面这段代码是WSPRecv的示意实跑时你需要在你的 LSP 工程里找到对应的函数位置把它替换为你自己的实现。// WSPRecv 的钩子写法只打印不动数据验证通了再加逻辑 int WSPAPI WSPRecv( SOCKET s, LPWSABUF lpBuffers, DWORD dwBufferCount, LPDWORD lpNumberOfBytesRecvd, LPDWORD lpFlags, LPWSAOVERLAPPED lpOverlapped, LPWSAOVERLAPPED_COMPLETION_ROUTINE lpCompletionRoutine, LPWSATHREADID lpThreadId, LPINT lpErr) { // 先调下一层真正干活 int ret g_NextProcTable.lpWSPRecv( s, lpBuffers, dwBufferCount, lpNumberOfBytesRecvd, lpFlags, lpOverlapped, lpCompletionRoutine, lpThreadId, lpErr); // 返回后数据已经在 lpBuffers 里打印前几个字节 if (ret ! SOCKET_ERROR lpBuffers *lpNumberOfBytesRecvd 0) { char szBuf[128] {0}; memcpy(szBuf, lpBuffers[0].lpBuf, min(*lpNumberOfBytesRecvd, 127)); LSP_LOG(RECV %u bytes: %s, *lpNumberOfBytesRecvd, szBuf); } return ret; }这段代码有两点必须说清楚。第一lpBuffers是WSABUF数组不是单个缓冲区异步和分散/聚集 I/O 场景下别只取lpBuffers[0]否则数据不完整。第二你打印的是下一层已经接收到的数据对 FTP 这种 ASCII 明文协议控制通道里能看到USER anonymous、PASS xxx、RETR file.txt等指令数据通道是二进制受文件类型影响不一定能直接按字符串打。# 在 FTP 客户端执行连接本地 FTP 服务器 ftp 127.0.0.1 user test pass 123456 # 同时观察 DebugView 里的 LSP_RECV 日志如果这里能打印出USER test说明 LSP 生效了。打印不出先看WSPStartup有没有被调用再加日志验证协议链是否正确。这个排查顺序非常重要。4.4 卸载 LSP不要直接删 DLL卸载 LSP 的坑比安装深。直接删除LSP.dll文件是错误操作——Winsock Catalog 里那条协议链还指向这个路径系统启动任何网络程序时都会去加载一个不存在的 DLL随之而来的是 WinSock 初始化失败网络功能整体瘫痪。正确的卸载顺序是先WSCDeinstallProvider删目录项再删文件。而且卸载后必须重启所有正在使用网络程序的进程因为已经加载的 LSP DLL 不会自动释放。// 卸载后验证列出当前 Catalog 里还剩哪些提供者 // 这个调用用于确认你的 LSP 已经不在链里了 DWORD dwSize 0; WSCEnumProtocols(NULL, NULL, dwSize, dwErr); // 第一次调用拿所需大小 WSAPROTOCOL_INFOW *pInfo new WSAPROTOCOL_INFOW[dwSize / sizeof(WSAPROTOCOL_INFOW)]; WSCEnumProtocols(NULL, pInfo, dwSize, dwErr); delete[] pInfo;WSCEnumProtocols第一次传入空缓冲区时dwErr会返回WSAENOBUFS但dwSize会拿到所需字节数。第二次再带缓冲区调用函数正常返回。这个「先问大小再申请」的模式在 Winsock 枚举类 API 里很常见WSCEnumProtocols、WSAEnumProtocols都是这套逻辑。5. 避坑实录LSP 注入最常见的五个翻车现场5.1 现象注册后所有 socket 程序 CPU 占用拉满系统卡死原因WSPRecv或WSPSend里没有正确转发到下一层导致数据在协议链里打转或者在每次调用时消耗了超额资源。最常见的是在钩子里拦截了所有流量然后又同步调用了下一层两个层之间每次收发包都做额外拷贝大流量瞬间压力上来就卡死。这个包里的LSP.dll如果直接在真实网络环境里跑不加以控制的话很容易暴露这个问题。解决在钩子里只处理「需要拦截」的流量其他流量直接透传。判断依据可以用ConfigFile的IsTargetAddress返回 FALSE 就直接走g_NextProcTable对应函数不做任何额外处理。另外不要在WSPRecv的同步路径里做日志格式化、磁盘写操作——磁盘 I/O 会拖垮收发性能日志输出先攒内存缓冲区再异步写是更稳妥的工程做法。提示LSP 的转发路径上任何额外操作都会影响所有网络程序的时延。实跑时先只过滤 127.0.0.1 的流量验证逻辑后再慢慢放开范围。5.2 现象64 位系统上明明注册成功但 64 位程序就是拦截不到原因Winsock Catalog 有 32 位和 64 位两套独立注册表。WSCInstallProvider在 32 位程序里调用时默认写的是 32 位 Catalog在 64 位程序里写的才是 64 位 Catalog。如果你的InstDemo.exe编译成了 32 位而目标 FTP 客户端是 64 位的 FileZilla两边根本不在一个目录里LSP 自然拦不到。解决分别编译 32 位和 64 位版本的宿主程序各自注册一次。或者用 Windows 的WOW64重定向机制让 32 位进程通过WSCInstallProvider的 64 位版本 API 写入 64 位 Catalog。我一般直接写两个安装批处理分别跑InstDemo_x86.exe和InstDemo_x64.exe清晰可靠。5.3 现象卸载后系统网络异常重启后socket()返回 WSAEINVALIDPROVIDER原因WSCDeinstallProvider卸载时只删了协议链里自己那层但下层的传输提供者信息也被连带标记成了无效或者卸载顺序不对——先把 TCP/IP 传输提供者卸了链的下层没了上面所有请求都找不到出口。另一个常见原因是你在 LSP 还在被进程使用时直接卸载DLL 未被释放文件被占用导致卸载不彻底。解决使用FTP.exe、浏览器等所有网络程序后再执行卸载。如果已经出现WSAEINVALIDPROVIDER用netsh winsock reset重置 Winsock Catalog这会恢复系统默认的传输提供者配置然后重新注册你的 LSP。注意netsh winsock reset会卸载所有第三方 LSP包括系统安全软件的网络监控组件执行后需要重启系统并在重启后重装安全软件。# Winsock 目录损坏时的第一手段 netsh winsock reset # 重启后检查目录是否恢复正常 netsh winsock show catalognetsh winsock reset的工作原理是重写HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2下的Parameters注册表项。这个操作会把 Catalog 恢复成系统默认状态。如果你先前注册的 LSP 在Protocol_Catalog9和NameSpace_Catalog5里都有残留reset 会一并清掉。5.4 现象LSP 在 Debug 版能拦截Release 版怎么都不生效原因Debug 和 Release 版注册表写入路径不同或者你的安装程序注册的是 Debug 版的 DLL 路径之后升级 Release 版没更新路径系统一直加载旧路径的 DLL。我见过一个更隐蔽的情况DLL 编译成了不同名字LSPd.dll和LSP.dll协议链里记的是旧名字Release 版 DLL 根本没被加载。解决先netsh winsock show catalog看链里指向的 DLL 路径确认路径和文件名正确。但更值得做的是一套严格流程卸载旧版 → 删除 DLL 文件 → 注册新版 → 重启验证。不要觉得麻烦LSP 的注册信息是系统全局的路径错一个字符就会加载失败。5.5 现象杀毒软件报毒或者 DLL 被隔离原因LSP 技术是恶意软件的经典手段绝大多数杀毒软件对 LSP DLL 的行为特征极度敏感。你的 DLL 要注入系统网络栈、要改 Winsock Catalog这本身就是危险信号杀软没有误报不报只有报得准不准的问题。解决这不是技术问题是合规问题。我只建议在隔离的虚拟机或专用测试机上做 LSP 开发不放在工作机和日常系统上实跑。另外如果你在开发能正常工作的 LSP尽量给你的 DLL 做代码签名杀软的误报率会明显下降但仍不能保证 100% 不报。把它看作这个技术路线固有的成本即可不必在杀软白名单上花太多时间。6. 验证技巧如何确认 LSP 真的拦截到了 FTP 数据验证 LSP 是否生效我有一套固定流程从轻到重每一步都在前一步不通过时才往下走。第一步netsh winsock show catalog确认协议链里有你的 Provider。看Protocol_Catalog9条目下有没有LSP.dll的路径以及它的 LSP 类型是否被识别为分层服务提供程序。这一步能确认注册成功但不能确认加载成功。第二步用 DebugView 观察WSPStartup的调用日志。随便开一个网络程序比如浏览器访问一个网页如果 DebugView 里立刻出现你的WSPStartup日志说明协议链加载正常。这一步能确认加载但不能确认拦截。第三步打开 FTP 客户端连一个你控制的 FTP 服务器观察WSPRecv日志里是否出现USER / PASS / LIST / RETR关键词。这一步能确认拦截。如果到这里全通了LSP 才算是真正接入了你手头的场景。# 一次性完成注册检查 netsh winsock show catalog | findstr /i LSP.dll # 在 DebugView 里过滤 [LSP] 前缀观察实时日志顺带讲一个边界LSP 天然适合拦截 FTP 是因为 FTP 是明文协议如果目标是 HTTPSLSP 只能看到 TLS 握手的 ClientHello数据内容是加密的。看到这里你可以理解LSP 的能力边界是「socket 层收发的字节流」不是「解密后的应用层数据」。后续要处理加密流量要么在目标进程里做证书替换要么用 WFP 配合解密的中间人方案那是另一套工程了。做这套验证的时候我习惯把WSPRecv的日志格式写成一行一条时间戳、socket 句柄、数据长度、数据内容前 64 字节。这么做的好处是将来排查问题时可以直接从日志里还原当时的流量上下文。从那次为了确认一个 FTP 客户端「登录失败但抓包看不出原因」的问题后我每次拿到 LSP 项目都强制走一遍注册 → 加载 → 拦截三级验证不在流程上省时间。希望帮到你。本文还有配套的精品资源点击获取
