基于UCAP的包过滤个人防火墙简单实现

那个人防火墙是如何实现的呢？对于一个包过滤防火墙来说，实际上最基础的要求就是它能 控制每个进去的报文，就是要有对网络的过滤能力。 在 Windows 系统上，首要就要求实现者要对 Windolink?url=ZwP5CT5hJcJTCeq3G_0Gyx3-uaPwZDCIQrzCaMQ6pYQeVLk ypJTZlPOaBDHO9EKfo8pz3KqAYJWJkWBmCgnQaK
BOOL PFWInitialize(); 初始化函数。
VOID PFWUnintialize(); 反初始化函数。
VOID PFWSetAlertCallback(ALERT_CALLBACK AlertCallback); 设置告警回调函数。
VOID PFWCleanFilterRule(); 清除所有过滤规则。
发送报文过程： 1. 上层应用发送数据，从而 IP 协议发送报文； 2. 报文被中间层截取，通过 2 送到应用层处理； 3. 应用层处理后，送回中间层处理结果； 4. 中间层根据处理结果，丢弃该报文，或者将处理后的报文发送到网络上；
源代码练习
下面的代码演示了简单的过滤规则的执行。
fwfilter.zip
点击文件名下载附件 /bbs/forum.php?mod=attachment&aid=NjN8NjE3ZDg4N2N8MTQyMDc wMzc5M3wzfDY4
不过，千万别以为防火墙就如此简单，这仅仅是一个包过滤个人防火墙的雏形。真正实用的 防火墙需要长期的网络安全研究团队做支撑，把各种潜在的前沿的攻击手段都预防了。而且 还要考虑实际产品的市场实用性，有大量的工作要做的。
PFWInsertTailRule(&Rule);
// // UDP packet for DNS is permit. //
Rule.RuleId = 1; Rule.ActionFlag = FILTER_ACTION_PERMIT | FILTER_ACTION_ALERT;
Rule.RemoteAddress.Type = FILTER_ADDRESS_TYPE_LIST; Rule.RemoteAddress.AddressList.TotalNumber = 3; Rule.RemoteAddress.AddressList.Addresses[0] = inet_addr("10.10.20.8"); Rule.RemoteAddress.AddressList.Addresses[1] = inet_addr("10.10.200.8"); Rule.RemoteAddress.AddressList.Addresses[2] = inet_addr("202.96.209.6"); Rule.RemotePort.Type = FILTER_PORT_TYPE_SINGLE; Rule.RemotePort.Port = htons(53); Rule.LocalPort.Type = FILTER_PORT_TYPE_ANY; Rule.Protocol = FILTER_PROTO_UDP;
VOID PFWCleanTrustNetwork(); 清除信任网络。
BOOL PFWInsertHeadRule(PFILTER_RULE pRule); 在头部加入当前规则。
BOOL PFWInsertTailRule(PFILTER_RULE pRule); 在尾部加入当前规则。
BOOL PFWAddTrustNetwork(PFILTER_TRUST_NETWORK pTrustNetwork); 加入信任网络。
应用程序
Winsock
应用层截包处理程序
上图描述了应用层截包的模型，主要的流程如下：
接收报文过程： 1. 网络接口收到报文，中间层截取，通过 2 送到应用层处理； 2. 应用层处理后，送回中间层处理结果； 3. 中间层根据处理结果，丢弃该报文，或者将处理后的报文通过 1 送到 IP 协议； 4. IP 协议及上层应用接收到报文；
ULONG RuleMatch[5] = {0,0,0,0,0}; ULONG NoMatch = 0; ULONG ErrorMatch = 0;
VOID Alert(ULONG RuleId, PPACKET_INFO PacketInfo) {
if(RuleId == INVALID_RULE_ID) NoMatch++;
PFWInsertTailRule(&Rule);
//
// Allow TCP packet incoming to port 5001. //
Rule.RuleId = 2; Rule.ActionFlag = FILTER_ACTION_PERMIT | FILTER_ACTION_ALERT;
{ printf("Initialize personal firewall failed.\n"); return -1;
}
PFWSetAlertCallback(Alert);
// // All outgoing TCP packet is permit. //
Rule.RuleId = 0; Rule.ActionFlag = FILTER_ACTION_PERMIT | FILTER_ACTION_ALERT;
PFWInsertTailRule(&Rule);
// // All other TCP packet is deny. //
Rule.RuleId = 3; Rule.ActionFlag = FILTER_ACTION_DENY | FILTER_ACTION_ALERT;
Rule.RemoteAddress.Type = FILTER_ADDRESS_TYPE_ANY; Rule.RemotePort.Type = FILTER_PORT_TYPE_ANY; Rule.LocalPort.Type = FILTER_PORT_TYPE_ANY; Rule.Protocol = FILTER_PROTO_TCP;
printf("Not match %d\n", NoMatch); printf("Error %d\n", ErrorMatch); printf("\n\n"); } }
Rule.RemoteAddress.Type = FILTER_ADDRESS_TYPE_ANY; Rule.RemotePort.Type = FILTER_PORT_TYPE_ANY; Rule.LocalPort.Type = FILTER_PORT_TYPE_ANY; Rule.Protocol = FILTER_PROTO_TCP; Rule.Direction = FILTER_DIRECTION_OUTGOING;
关键字：个人防火墙 包过滤 截包 应用层 中间层 NDIS Windows 作者：Fang(fangguicheng@)
个人防火墙简介
个人防火墙] (Personal FireWall)顾名思义是一种个人行为的防范措施，这种防火墙不需要特 定的网络设备，只要在用户所使用的 PC 上安装软件即可。 由于网络管理者可以远距离地 进行设置和管理，终端用户在使用时不必特别在意防火墙的存在，极为适合小企业等和个人 等的使用。 个人防火墙把用户的计算机和公共网络分隔开，它检查到达防火墙两端的所有数据包，无论 是进入还是发出，从而决定该拦截这个包还是将其放行，是保护个人计算机接入互联网的安 全有效措施。 常见的个人防火墙有：天网防火墙个人版、瑞星个人防火墙、360 木马防火墙、费尔个人防 火墙、江民黑客防火墙和金山网标等。
而本文将要介绍的方法极为简单，特别易于网络初学者学习训练。只需要对 IP 协议所有了 解就够了，不需要有 Windows NDIS 驱动程序编写知识。
UCAP 简介
本文实现的防火墙基于 UCAP 实现。UCAP 驱动为纳雅 CSC VPN 的一个关键驱动程序。 它能够接管系统上所有以太网接口，把待接收的报文和待发送的报文都送到应用层，由应用 层根据报文内容给出指示，UCAP 根据指示允许该报文通过，或者丢弃，或者修改，或者转 发。也就是说，基于 UCAP 的 Windows 应用程序可以全权控制这个系统的所有网络行为。
Rule.RemoteAddress.Type = FILTER_ADDRESS_TYPE_ANY; Rule.RemotePort.Type = FILTER_PORT_TYPE_ANY; Rule.LocalPort.Type = FILTER_PORT_TYPE_SINGLE; Rule.LocalPort.Port = htons(5001); Rule.Protocol = FILTER_PROTO_TCP; Rule.Direction = FILTER_DIRECTION_INCOMING;
源代码说明
Fwfilter.c Filter.c Rule.c Ucapctrl.c
API 接口实现 根据 IP、TCP、UDP 过滤，支持 IP 分片 维护规则列表，根据列表执行规则匹配 与 UCAP 驱动的接口
简单的测试代码
#include <winsock2.h> #include <stdio.h> #include "pfwapi.h"
else if(RuleId > 4) ErrorMatch++;
else RuleMatch[RuleId]++;
}
int main(int argc, char* argv[]) {
BOOL bRet; char cmd[80]; int i;
FILTER_RULE Rule;