基于spi和ndis+hook的包过滤型防火墙

《基于spi和ndis+hook的包过滤型防火墙》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、浙江大学硕士学位论文基于SPI和NDISHOOK的包过滤型防火墙姓名：李幸申请学位级别：硕士专业：软件工程指导教师：陈天洲;施青松20070513浙江大学硕士学位论文摘要在网络技术飞速发展的今天，网络的安全性也变得日益突出，黑客和病毒每年给互联网用户带来了巨大的损失，个人防火墙有着巨大的应用前景。个人防火墙一般都是采用包过滤的方式来实现的。包过滤型防火墙是一种通用、廉价、有效的安全手段。它不针对各个具体的网络服务采取特殊的处理方式。包过滤型防火墙有很多种，有的防火墙在应用层过滤数据包，这样会使得程序开发周期变短，实现起来变的简单，对CPU占用

2、比较少，能够获得进程的详细信息，但是这种防火墙的缺点也是很明显的：不能捕获所有的数据包，安全性比较低，而且网络使用效率也变的很低；有的防火墙工作在NDIS层，这就能对所有数据包进行过滤，安全性比较好，但是由于工作在比较底层，导致防火墙开发周期变长。结合以上的分析，本系统采用了SPI层和NDIS层两层HOOK的方式来实现一个防火墙，主要是利用了NDIS层的安全性和SPI层设计的简单性。在NDIS层实现对所有数据包的解析和捕获，对不经过SPI层的数据包进行过滤。在SPI层对通过SOCKET通信的数据包进行过滤。因此本系统跨越四个网络层次：应用层，

3、网络层，传输层和链路层，HOOK机制将是系统需要着重设计的一个方面。通过对网站访问，应用程序，ICMP和网上邻居访问的限制，最大程度上保护了用户电脑数据的安全。目前市场上流行的防火墙往往比较强调安全性，而网络包的处理速度和系统资源占用上有着缺陷。对于大部分个人电脑用户来说。系统响应时间某种程度上说比数据的安全性更为重要。本系统的可扩展性好，速度快，是一种比较值得信赖的防火墙。关键词防火墙，SPI，包过滤，NDIS浙江大学硕士学位论文AbstractWiththefastdevelopmeminthenetworktechnique，thesa

4、fetyofthenetworkbecomesincreasinglyoutstanding．ThehackersandvirusbroughthugcdamagetotheInteractcustomersannually,andthepersonalfirewallhashugeforegroundtoapply．PersonalfirewallsgenerallyadoptpacketfilteringtoCatTyout．Andpacketfilteringfirewallisakindofcheapandvalidmeansinge

5、neralusewhichdoesn'tadoptspecialtreatmenttoeachconcretenetworkservice．Packetfilteringflrewallscontainalotofkind．Somefirewallsfiltratedatapacketsatapplicationlayer．Itmakestheproceduredevelopmentperiodbecomeshorterandiseasiertocarryout．ⅢSkindoffirewallsalSOtakesupleSSCPUandca

6、nacquiredetailedinformationofprogress．Buttheweaknessofthis虹ndoffirewalliSalsoveryobviOUS．Itcan'tcatchalldatapackets，andthesafetyislower．Besides，itmakestheemciencyofnetworkllsagebecomeverylow．SomefirewallsWOrkintheNDISlayersothattheyCancarryORfiltrationtoalldatapackets．andth

7、eirsafetyisbetter．Butbecametheyworkatcomparativelylowerlayer,thedevelopmentperiodofthemislonger．Combineaboveanalysis．basedonthesafetyofNDISlayerandthesimpledesignofSPIlayer,thissystemadoptedaH00Kmodeinthese2layerstocarryoutafirewall．ItCaneatehandparsealldatapacketsatNDISlay

8、er．especiallyrealizethefiltrationofdatapacketsWhichdon’tpassthrou妯theSPIlayer．Ital