基于imd的包过滤防火墙原理与实现

《基于imd的包过滤防火墙原理与实现》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、基于IMD的包过滤防火墙原理与实现创建时间：2003-07-13文章属性：原创文章提交：xiaobai(xiaobai_at_openfind.com.cn)基于IMD的包过滤防火墙原理与实现xiaobaixiaobai@openfind.com.cn711网络安全小组  http://www.cpyy.net一、前言二、IMD中间层技术介绍三、passthru例程分析四、部分演示代码五、驱动编译与安装六.总结一、前言    前段时间，在安全焦点上看到了TOo2y朋友写的《基于SPI的数据报过滤原理与实现》，很是不错。文章中提到的基于SPI的数据报拦截技术是在用

2、户级的。用户级的拦截有其优势，实现方便、便于移植、通用性强，但是，用户级并不能得到所有的数据报。本文提到的基于IMD的数据报过滤则是属于内核级的，它建立在网络驱动上面。    其实两个月前就想写这篇文章了，可惜这个技术是我一年前做的，好久不用，已经忘的差不多了，所以一直没有写。不过，近来正巧有个课题，牵扯到了中间层驱动。于是，重新拾起丢了有一年的DDK，啃了起来。这期间，真的要非常感谢linxder的帮忙，让我少走了一些弯路，否则，我真的要从头学起了。废话不多说了，切入正题。    二、中间层驱动技术介绍    中间层驱动，英文为NDISintermediate

3、driver。    1）内核级网络驱动介绍        MicrosoftWindows2000支持三种基本的内核级网络驱动，这三层driver顺序从下到上依次为：        1.MiniportNICdrivers：微端口网卡驱动，位于最底层，直接操纵网卡并且对高层驱动提供接口。        2.Intermediatedrivers：IMD中间层驱动，这就是今天的主角，位于1和3之间，具体的作用下面就会介绍。        3.Protocoldrivers：高层协议驱动，俗称为TDI（传输驱动程序接口），高于前面两层，直接面向用户级，      

4、              为用户提供网络服务，也就是绝大多数程序所用到的网络接口。        2）IMD驱动                IMD中间层，它的实质很简单，最经典的描述莫过于下面的话：        AnintermediatedriveristypicallylayeredoveroneormoreNDISNICdriversandunderatransportdriver(possiblymultilayered)thatsupportsTDIatitsupperedge.    AnNDISintermediatedriverexpor

5、tsMiniportXxxfunctionsatitsupperedgeandProtocolXxxfunctionsatitsloweredge.（见DDK文档）        中间层插入网卡和协议层之间，对上面的协议层表现为一个虚拟的微端口网卡结构，而对下面的网卡则表现为一个协议层的结构。所以，无论是网卡接收并上传的数据报，还是上层要下送至网卡发送的数据报，无一例外地要经过中间层。        3）IMD包过滤技术    前面我们已经看到，所有的数据报都要经过中间层，所以，我们可以在中间层加入我们想要过滤的数据报的特征，实现基于中间层驱动的内核级包过滤。 

6、       这样做的优势非常明显，首先，在驱动级别上做过滤，无须组包，速度快，效率自然就高；其次，所有的数据报无一例外，只要网卡上传的数据报均可以截获，避免了用户级无法得到所有数据报的缺点。当然，世界上没有完美的事情。IMD包过滤技术也存在其不可避免的缺点，与操作系统版本关系密切，与硬件联系大，可移植性低。我在调试这个驱动的时候，就碰到了无数次蓝屏，无数次重启动，进了几次安全模式，甚至还为此重新安装了一次系统。        正是由于上面的一些问题，现在市面上还没有见到有厂家推出基于IMD的实用型防火墙，大部分都是在实验室中的作品，或许真的是要做到通用性很难吧

7、，不过还是希望能尽快见到这样的产品面世。            三、passthru代码分析        到这里，你或许已经非常想看看到底怎么来实现基于IMD的包过滤防火墙了，不过，你肯定会迟疑，如果让我们自己写整个中间层驱动的话，是不是有些太艰难了啊？况且，我只是个搞网络安全的，我不是专门写驱动的，让我完成一个驱动程序，还要对上层协议伪装成一个网卡，对下层伪装成一个协议层，这不是要命么？        呵呵，其实微软很不错的，在提出这项技术之后，其DDK中附带了一个中间层驱动的例程，就是passthru。passthru实现了一个中间层的基本功能，对下表现为

8、一个协议层的驱动，对上表