WFP驱动开发实战TCP Options追加与NET_BUFFER操作3大核心步骤在Windows内核驱动开发领域网络数据包的拦截与修改一直是极具挑战性的技术方向。本文将深入探讨如何通过Windows Filtering PlatformWFP框架在传输层安全地修改TCP报文特别是追加TCP Options数据的完整流程。不同于简单的理论概述我们将从实战角度出发提供可直接编译的代码片段和关键操作检查清单。1. WFP驱动开发环境准备与基础架构开发WFP驱动需要特定的工具链和开发环境配置。首先确保已安装最新版本的Windows Driver KitWDK和Visual Studio。推荐使用Windows 11 SDK以获得最完整的WFP API支持。关键开发工具清单Visual Studio 2022社区版即可WDK for Windows 11版本22000或更高Windows 11 SDKWinDbg Preview用于内核调试在项目配置中需要特别关注以下编译设置// 驱动入口点配置示例 NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) { NTSTATUS status STATUS_SUCCESS; // 注册Unload函数 DriverObject-DriverUnload DriverUnload; // 初始化WFP调用结构 status FwpmEngineOpen(NULL, RPC_C_AUTHN_WINNT, NULL, NULL, engineHandle); if (!NT_SUCCESS(status)) { KdPrint((Failed to open WFP engine: 0x%x\n, status)); return status; } // 其他初始化代码... return status; }开发环境检查清单确认测试机已启用测试签名模式bcdedit /set testsigning on配置虚拟机调试环境建议使用VMware Workstation Pro安装Wireshark用于网络包分析准备符号服务器配置SRVC:\Symbolshttps://msdl.microsoft.com/download/symbols2. NET_BUFFER内存操作核心技术TCP Options的追加本质上是对NET_BUFFER结构的操作。Windows网络栈使用NET_BUFFER来描述网络数据包其内存布局需要特别关注。NET_BUFFER关键结构解析typedef struct _NET_BUFFER { union { struct { NET_BUFFER *Next; PMDL CurrentMdl; ULONG CurrentMdlOffset; ULONG DataLength; }; SLIST_HEADER Link; }; // 其他成员省略... } NET_BUFFER, *PNET_BUFFER;当需要在TCP头部追加Options时必须遵循以下操作流程计算所需空间确定要追加的Options长度通常4字节对齐回退操作使用NdisRetreatNetBufferDataStart预留空间内存复制将原有TCP头部前移腾出Options空间写入新数据在预留位置写入Options内容关键API调用示例NTSTATUS RetreatBuffer(PNET_BUFFER netBuffer, UINT spaceNeeded) { NTSTATUS status NdisRetreatNetBufferDataStart( netBuffer, spaceNeeded, 0, // BackFill NULL); if (status ! STATUS_SUCCESS) { KdPrint((Retreat failed: 0x%x\n, status)); return status; } // 获取新的数据起始指针 PVOID dataStart NdisGetDataBuffer(netBuffer, spaceNeeded, NULL, 1, 0); if (!dataStart) { KdPrint((Failed to get data buffer\n)); return STATUS_UNSUCCESSFUL; } // 执行内存操作... return STATUS_SUCCESS; }内存操作前后对比操作阶段DataStart位置DataLengthMDL链状态原始状态TCP头部开始包含IPTCP头部单MDL回退后前移N字节增加N字节可能新增MDL修改后保持不变保持不变可能合并MDL3. TCP/IP头部关键字段更新与校验和计算成功追加Options后必须更新以下关键字段IP头部Total Length字段增加Options长度Header Checksum重新计算TCP头部Data Offset字段增加Options长度/4Checksum重新计算字段更新检查清单void UpdateTcpIpHeaders(PVOID packet, UINT optionsLength) { IP_HEADER* ipHdr (IP_HEADER*)packet; TCP_HEADER* tcpHdr (TCP_HEADER*)((PUCHAR)packet ipHdr-HeaderLength); // 更新IP Total Length网络字节序 ipHdr-TotalLength htons(ntohs(ipHdr-TotalLength) optionsLength); // 更新TCP Data Offset高4位 tcpHdr-DataOffset (tcpHdr-DataOffset 0x0F) | ((TCP_HEADER_LENGTH optionsLength) 4); // 校验和置零以便重新计算 ipHdr-Checksum 0; tcpHdr-Checksum 0; // 计算新的校验和 ipHdr-Checksum CalculateIpChecksum(ipHdr); tcpHdr-Checksum CalculateTcpChecksum(ipHdr, tcpHdr); }校验和计算注意事项现代网卡通常支持Checksum Offload功能虚拟机环境可能需要特殊处理可通过NDIS_TCP_IP_CHECKSUM_NET_BUFFER_LIST_INFO控制卸载行为// 禁用特定流的校验和卸载示例 void DisableChecksumOffload(PNET_BUFFER_LIST netBufferList) { NDIS_TCP_IP_CHECKSUM_NET_BUFFER_LIST_INFO* checksumInfo (NDIS_TCP_IP_CHECKSUM_NET_BUFFER_LIST_INFO*)netBufferList-NetBufferListInfo[TcpIpChecksumNetBufferListInfo]; checksumInfo-Transmit.TcpChecksum 0; checksumInfo-Transmit.UdpChecksum 0; checksumInfo-Transmit.IpHeaderChecksum 0; }4. 完整WFP Callout驱动实现示例下面给出一个完整的WFP Callout驱动示例展示如何在FWPM_LAYER_OUTBOUND_TRANSPORT_V4层修改TCP报文// Callout分类函数实现 VOID NTAPI ClassifyFn( const FWPS_INCOMING_VALUES* inFixedValues, const FWPS_INCOMING_METADATA_VALUES* inMetaValues, void* layerData, const void* classifyContext, const FWPS_FILTER* filter, UINT64 flowContext, FWPS_CLASSIFY_OUT* classifyOut) { UNREFERENCED_PARAMETER(classifyContext); UNREFERENCED_PARAMETER(flowContext); // 获取网络缓冲区 NET_BUFFER_LIST* netBufferList (NET_BUFFER_LIST*)layerData; NET_BUFFER* netBuffer NET_BUFFER_LIST_FIRST_NB(netBufferList); // 预留Options空间假设需要追加8字节 NTSTATUS status RetreatBuffer(netBuffer, 8); if (!NT_SUCCESS(status)) { classifyOut-actionType FWP_ACTION_PERMIT; return; } // 获取数据指针并修改 PVOID data NdisGetDataBuffer(netBuffer, NET_BUFFER_DATA_LENGTH(netBuffer), NULL, 1, 0); if (data) { // 实际修改操作... UpdateTcpIpHeaders(data, 8); DisableChecksumOffload(netBufferList); } classifyOut-actionType FWP_ACTION_CONTINUE; }驱动注册完整流程创建WFP引擎会话FwpmEngineOpen注册CalloutFwpsCalloutRegister添加Callout到系统FwpmCalloutAdd创建并添加过滤器FwpmFilterAdd提交事务FwpmTransactionCommit在实际开发中还需要处理以下边界情况内存不足时的回退机制多处理器环境下的同步问题驱动卸载时的资源清理与用户态服务的通信机制通过以上步骤开发者可以构建一个完整的TCP报文修改驱动。记住在实际部署前务必在测试环境中验证所有边界情况特别是内存操作和校验和计算的正确性。
WFP驱动开发实战TCP Options追加与NET_BUFFER操作3大核心步骤在Windows内核驱动开发领域网络数据包的拦截与修改一直是极具挑战性的技术方向。本文将深入探讨如何通过Windows Filtering PlatformWFP框架在传输层安全地修改TCP报文特别是追加TCP Options数据的完整流程。不同于简单的理论概述我们将从实战角度出发提供可直接编译的代码片段和关键操作检查清单。1. WFP驱动开发环境准备与基础架构开发WFP驱动需要特定的工具链和开发环境配置。首先确保已安装最新版本的Windows Driver KitWDK和Visual Studio。推荐使用Windows 11 SDK以获得最完整的WFP API支持。关键开发工具清单Visual Studio 2022社区版即可WDK for Windows 11版本22000或更高Windows 11 SDKWinDbg Preview用于内核调试在项目配置中需要特别关注以下编译设置// 驱动入口点配置示例 NTSTATUS DriverEntry(PDRIVER_OBJECT DriverObject, PUNICODE_STRING RegistryPath) { NTSTATUS status STATUS_SUCCESS; // 注册Unload函数 DriverObject-DriverUnload DriverUnload; // 初始化WFP调用结构 status FwpmEngineOpen(NULL, RPC_C_AUTHN_WINNT, NULL, NULL, engineHandle); if (!NT_SUCCESS(status)) { KdPrint((Failed to open WFP engine: 0x%x\n, status)); return status; } // 其他初始化代码... return status; }开发环境检查清单确认测试机已启用测试签名模式bcdedit /set testsigning on配置虚拟机调试环境建议使用VMware Workstation Pro安装Wireshark用于网络包分析准备符号服务器配置SRVC:\Symbolshttps://msdl.microsoft.com/download/symbols2. NET_BUFFER内存操作核心技术TCP Options的追加本质上是对NET_BUFFER结构的操作。Windows网络栈使用NET_BUFFER来描述网络数据包其内存布局需要特别关注。NET_BUFFER关键结构解析typedef struct _NET_BUFFER { union { struct { NET_BUFFER *Next; PMDL CurrentMdl; ULONG CurrentMdlOffset; ULONG DataLength; }; SLIST_HEADER Link; }; // 其他成员省略... } NET_BUFFER, *PNET_BUFFER;当需要在TCP头部追加Options时必须遵循以下操作流程计算所需空间确定要追加的Options长度通常4字节对齐回退操作使用NdisRetreatNetBufferDataStart预留空间内存复制将原有TCP头部前移腾出Options空间写入新数据在预留位置写入Options内容关键API调用示例NTSTATUS RetreatBuffer(PNET_BUFFER netBuffer, UINT spaceNeeded) { NTSTATUS status NdisRetreatNetBufferDataStart( netBuffer, spaceNeeded, 0, // BackFill NULL); if (status ! STATUS_SUCCESS) { KdPrint((Retreat failed: 0x%x\n, status)); return status; } // 获取新的数据起始指针 PVOID dataStart NdisGetDataBuffer(netBuffer, spaceNeeded, NULL, 1, 0); if (!dataStart) { KdPrint((Failed to get data buffer\n)); return STATUS_UNSUCCESSFUL; } // 执行内存操作... return STATUS_SUCCESS; }内存操作前后对比操作阶段DataStart位置DataLengthMDL链状态原始状态TCP头部开始包含IPTCP头部单MDL回退后前移N字节增加N字节可能新增MDL修改后保持不变保持不变可能合并MDL3. TCP/IP头部关键字段更新与校验和计算成功追加Options后必须更新以下关键字段IP头部Total Length字段增加Options长度Header Checksum重新计算TCP头部Data Offset字段增加Options长度/4Checksum重新计算字段更新检查清单void UpdateTcpIpHeaders(PVOID packet, UINT optionsLength) { IP_HEADER* ipHdr (IP_HEADER*)packet; TCP_HEADER* tcpHdr (TCP_HEADER*)((PUCHAR)packet ipHdr-HeaderLength); // 更新IP Total Length网络字节序 ipHdr-TotalLength htons(ntohs(ipHdr-TotalLength) optionsLength); // 更新TCP Data Offset高4位 tcpHdr-DataOffset (tcpHdr-DataOffset 0x0F) | ((TCP_HEADER_LENGTH optionsLength) 4); // 校验和置零以便重新计算 ipHdr-Checksum 0; tcpHdr-Checksum 0; // 计算新的校验和 ipHdr-Checksum CalculateIpChecksum(ipHdr); tcpHdr-Checksum CalculateTcpChecksum(ipHdr, tcpHdr); }校验和计算注意事项现代网卡通常支持Checksum Offload功能虚拟机环境可能需要特殊处理可通过NDIS_TCP_IP_CHECKSUM_NET_BUFFER_LIST_INFO控制卸载行为// 禁用特定流的校验和卸载示例 void DisableChecksumOffload(PNET_BUFFER_LIST netBufferList) { NDIS_TCP_IP_CHECKSUM_NET_BUFFER_LIST_INFO* checksumInfo (NDIS_TCP_IP_CHECKSUM_NET_BUFFER_LIST_INFO*)netBufferList-NetBufferListInfo[TcpIpChecksumNetBufferListInfo]; checksumInfo-Transmit.TcpChecksum 0; checksumInfo-Transmit.UdpChecksum 0; checksumInfo-Transmit.IpHeaderChecksum 0; }4. 完整WFP Callout驱动实现示例下面给出一个完整的WFP Callout驱动示例展示如何在FWPM_LAYER_OUTBOUND_TRANSPORT_V4层修改TCP报文// Callout分类函数实现 VOID NTAPI ClassifyFn( const FWPS_INCOMING_VALUES* inFixedValues, const FWPS_INCOMING_METADATA_VALUES* inMetaValues, void* layerData, const void* classifyContext, const FWPS_FILTER* filter, UINT64 flowContext, FWPS_CLASSIFY_OUT* classifyOut) { UNREFERENCED_PARAMETER(classifyContext); UNREFERENCED_PARAMETER(flowContext); // 获取网络缓冲区 NET_BUFFER_LIST* netBufferList (NET_BUFFER_LIST*)layerData; NET_BUFFER* netBuffer NET_BUFFER_LIST_FIRST_NB(netBufferList); // 预留Options空间假设需要追加8字节 NTSTATUS status RetreatBuffer(netBuffer, 8); if (!NT_SUCCESS(status)) { classifyOut-actionType FWP_ACTION_PERMIT; return; } // 获取数据指针并修改 PVOID data NdisGetDataBuffer(netBuffer, NET_BUFFER_DATA_LENGTH(netBuffer), NULL, 1, 0); if (data) { // 实际修改操作... UpdateTcpIpHeaders(data, 8); DisableChecksumOffload(netBufferList); } classifyOut-actionType FWP_ACTION_CONTINUE; }驱动注册完整流程创建WFP引擎会话FwpmEngineOpen注册CalloutFwpsCalloutRegister添加Callout到系统FwpmCalloutAdd创建并添加过滤器FwpmFilterAdd提交事务FwpmTransactionCommit在实际开发中还需要处理以下边界情况内存不足时的回退机制多处理器环境下的同步问题驱动卸载时的资源清理与用户态服务的通信机制通过以上步骤开发者可以构建一个完整的TCP报文修改驱动。记住在实际部署前务必在测试环境中验证所有边界情况特别是内存操作和校验和计算的正确性。
