NDIS中间层驱动包截获技术解析

### NDIS中间层驱动包截获技术解析 #### 一、NDIS驱动模型简介 **NDIS**(Network Driver Interface Specification)是一种由微软定义的标准网络驱动程序接口规范，它跨越了传输层、网络层和数据链路层，为网卡驱动程序提供了一套标准化的接口，使得上层的协议驱动程序能够透明地与底层各种不同型号的网卡进行通信。通过使用NDIS，开发者可以简化网络驱动程序的编写过程，避免直接与操作系统的内核以及其他驱动程序交互所带来的复杂性。 NDIS不仅为网络驱动程序提供了一个统一的开发框架，还通过其封装特性帮助开发者专注于特定层次的驱动设计，这大大降低了开发难度，并且提高了驱动程序的可扩展性和可维护性。 #### 二、NDIS中间层驱动的工作原理 NDIS中间层驱动位于MINIPORT和PROTOCOL接口之间，作为连接下层网卡驱动和上层协议驱动的关键组件。这种架构允许开发者通过NDIS中间层驱动截获并处理从网卡传递过来的数据包，具体来说： 1. **数据包接收**: 当网卡接收到数据包时，它会通过调用`NdisMIndicateReceive`或`NdisMEthIndicateReceive`函数通知上层的NDIS中间层驱动程序。 2. **数据包处理**: 接着，NDIS中间层驱动中的`PtReceive`或`PtReceivePacket`函数被调用以处理接收到的数据包。在这里，驱动程序可以通过`NdisGetReceivedPacket`获取完整的数据包，并根据需要将其存储在预先分配的缓冲区中。 3. **数据包转发**: 处理完毕后，NDIS中间层驱动程序将数据包通过`NdisMIndicateReceivePacket`函数转发给上层协议驱动程序。 4. **数据包返回**: 当上层协议驱动程序处理完数据包后，它会调用`NdisReturnPacket`函数，随后NDIS将调用中间层驱动程序中的`MPReturnPacket`函数来释放之前分配的缓冲区，并继续将数据包向下层网卡驱动返回。 5. **数据包完成通知**: 如果在`PtReceive`或`PtReceivePacket`函数中无法获得完整的数据包，系统会调用`NdisMEthIndicateReceive`等函数进行通知。 6. **数据包转移**: 在某些情况下，上层协议驱动可能需要更多的数据，这时它会调用`NdisTransferData`请求下层提供剩余的数据。此时，NDIS中间层驱动程序中的`MPTransferData`函数会被调用，用于处理这部分数据的传输。 7. **数据包完成确认**: 当底层网卡驱动准备好一个完整的数据包时，它会调用`NdisTransferDataComplete`函数。系统会进一步调用中间层驱动程序的`PtTransferDataComplete`函数，完成整个数据包的接收流程。 通过这种方式，NDIS中间层驱动实现了对网络数据包的有效拦截和处理，为开发者提供了强大的网络监控和数据分析能力。 #### 三、示例代码解析 为了更好地理解NDIS中间层驱动的工作机制，下面提供了一些示例代码片段，这些代码展示了如何在NDIS中间层驱动中实现数据包的截获和处理。 ```c VOID PtReceive( _In_ PNDIS_PROTOCOL_BLOCK ProtocolBlock, _In_ PVOID Context ) { NDIS_HANDLE ProtocolBindingContext; NDIS_STATUS Status; PNDIS_PACKET Packet; ProtocolBindingContext = (PVOID)ProtocolBlock->ProtocolBindingContext; // 获取接收到的数据包 Status = NdisGetReceivedPacket(ProtocolBlock, &Packet); if (NDIS_SUCCESS(Status)) { // 处理数据包 ProcessPacket(Packet); // 将处理后的数据包转发给上层 Status = NdisMIndicateReceivePacket(ProtocolBindingContext, Packet); } else { // 错误处理 NdisLogError(ProtocolBindingContext, Status, "Failed to get received packet"); } if (Status == NDIS_STATUS_RESOURCES) { // 释放缓冲区 NdisFreeBuffer(Packet); } } VOID MPReturnPacket( _In_ NDIS_HANDLE MiniportAdapterContext, _In_ PNDIS_PACKET Packet ) { // 释放缓冲区 NdisFreeBuffer(Packet); // 返回数据包给下层 NdisReturnPacket(MiniportAdapterContext, Packet); } ``` 以上代码展示了如何在`PtReceive`函数中获取并处理接收到的数据包，以及如何在`MPReturnPacket`函数中释放缓冲区并将数据包返回给下层网卡驱动。这些示例代码为理解NDIS中间层驱动的工作流程提供了宝贵的参考。