Firewall, сниффер WFP

@Larets · Регистрация: 17.05.2014

Студворк — интернет-сервис помощи студентам

1)
Минимальный пример из msdn не работает

http://msdn.microsoft.com/en-u... s.85).aspx

Вот это я пишу в созданном на VS консольном приложении.

C++
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
#pragma comment(lib, "Fwpuclnt.lib")
 
#include <fwpmu.h>
#include <iostream>
 
using namespace std;
 
main()
{
 HANDLE    engineHandle = NULL;
 DWORD    result = ERROR_SUCCESS; 
 
 printf("Opening the filter engine.\n");
        
 result = FwpmEngineOpen0(
    NULL, 
    RPC_C_AUTHN_WINNT, 
    NULL,
    NULL, 
    &engineHandle );
 
 if (result != ERROR_SUCCESS)
    printf("FwpmEngineOpen0 failed. Return value: %d.\n", result); 
 else
    printf("Filter engine opened successfully.\n");
}

Ошибки такого рода:
12 IntelliSense: идентификатор "FWP_FILTER_ENUM_TYPE" не определен c:\program files (x86)\microsoft sdks\windows\v7.0a\include\fwpmtypes.h 413 5

2)
Видел советы читать документацию DDK и SDK для того, чтобы разобраться в данной теме.
Как просмотреть документацию? Есть файлы *.hxc, *.hxi в папке ./help, но они не открываются.

Спасибо за любую помощь. Информация срочно нужна. В интернете не могу найти.

Убежденный · 17.05.2014, 18:54

1) Подключите winsock2.h перед остальными заголовками.

2) Документация по WFP делится на две части - user mode и kernel mode.
Первая часть есть в Windows SDK, в разделе "Win32 and COM Development /
Networking / Network Firewall and Routing", вторая в WDK, раздел
называется "Device and Driver Technologies / Network Devices / Network Driver for
Windows Vista and Later / Design Guide". В папку /help лезть не нужно, у Вас
при установке SDK, Visual Studio или WDK должны быть созданы ярлыки,
открывающие документацию.

Сообщение от Larets

Информация срочно нужна. В интернете не могу найти.

Да ладно ?
Гугл на запрос "Windows Filtering Platform" выдает пачку ссылок.

@Larets · 17.05.2014, 19:11 **[ТС]**

firewall.

Сообщение от Убежденный

1) Подключите winsock2.h перед остальными заголовками.

не помогло полностью.

Ошибка 1 error C2059: синтаксическая ошибка: константа c:\program files (x86)\microsoft sdks\windows\v7.0a\include\fwptypes.h 275 1 1705

Сообщение от Убежденный

"Win32 and COM Development /
Networking / Network Firewall and Routing"

спасибо. буду там искать информацию.

Убежденный · 17.05.2014, 19:24

Сообщение от Larets

не помогло полностью.

И это странно.
Ибо у меня Ваш пример скомпилировался (только я исправил main на int main).
Возможно, проблема со стандартными заголовками. Где брали ?

@Larets · 17.05.2014, 19:36 **[ТС]**

Заголовки гуглил и скачивал с сайта Microsoft
здесь
http://www.microsoft.com/en-us... x?id=11310

и DDK где-то там же.

Добавлено через 7 минут
В DDK написано для Vista и позже. Мне требуется написать firewall+сниффер под Windows 7, может мне надо что-то другое почитать?

ОС у меня Windows 7. Есть VS 10 и VS 12 на компьютере.
Мне для написания программ надо специальные настройки среды сделать? или где можно про это почитать?

Убежденный · 17.05.2014, 20:01

Сообщение от Larets

Заголовки гуглил и скачивал с сайта Microsoft
здесь

У меня стоит Windows 7 SDK, который вот этот:

Microsoft Windows SDK for Windows 7 and .NET Framework 3.5 SP1
http://www.microsoft.com/en-us... px?id=3138

И 2008-ая "Студия" настроена на использование компиляторов и
заголовков оттуда. Но насколько я помню, и с "родными" заголовками
от VS2008/2010/2012/2013 все должно работать.

А WDK вот этот:

Windows Driver Kit Version 7.1.0
http://www.microsoft.com/en-us... x?id=11800

В DDK написано для Vista и позже. Мне требуется написать firewall+сниффер под Windows 7, может мне надо что-то другое почитать?

Ну так Windows 7 - это и есть "и позже".
Просто в Windows Vista была целая куча разных изменений, как в ядре,
так и в user mode, поэтому документацию разделили, чтобы избежать
ненужной путаницы.

ОС у меня Windows 7. Есть VS 10 и VS 12 на компьютере.
Мне для написания программ надо специальные настройки среды сделать? или где можно про это почитать?

Нет, ничего не нужно дополнительно делать.
Любой код, использующий стандартные функции WFP, должен нормально
компилироваться и работать. При условии, что вы запускаете его на
Vista и выше и сами не занижаете какой-нибудь version-макрос
типа WINVER.

@Larets · 17.05.2014, 20:17 **[ТС]**

Спасибо, и за ответы на "глупые" вопросы...

Сообщение от Убежденный

А WDK вот этот:
Windows Driver Kit Version 7.1.0 http://www.microsoft.com/en-us... x?id=11800

У меня тот же, исходя из названия ISO файла (GRMWDK_EN_7600_1).

Попробую переустановить SDK поверх. Может проблема в том, что у меня Windows SDK for Windows Server 2008 and .NET Framework 3.5 установлен

Убежденный · 17.05.2014, 20:36

А зачем Вам вообще Windows SDK, если установлена 10 и 12 "Студии" ?
Я, к примеру, ставлю Windows 7 SDK, чтобы подключить некоторые
объявления для Windows 7 (типа ITaskbarList3) в Visual C++ 2008,
где их нет (ибо VS2008 вышла до выхода Windows 7), но для более
поздних версий Visual Studio этот SDK не нужен.

@Larets · 17.05.2014, 20:57 **[ТС]**

Расскажите, пожалуйста (или может ссылку), основные этапы, для написание firewall.

До сей работы с сетями вообще не сталкивался
В начале своих поисков firewall+сниффер по поводу firewall с примерами вообще туго было. По снифферу находил реализацию с помощью WinSock2, но там не видел данных(уже на форуме смотрел, что могут быть загвоздки с gzip),потом начал искать реализацию firewall в ту степь. Потом понял что не получится. По рекомендации похожих тем на форуме прочитал книги:
A Jones, Network programming for Microsoft Windows
Снейдер Йон Эффективное программирование TCP IP (2009)
TCP/IP крупным планом - ознакомился

Помогли ознакомится с TCP/IP и понять как в общих чертах устроена передача по сетям, но технически реализации firewall+сниффер не помогло.

Потом из книжки Внутреннее устройство Microsoft Windows. Основные подсистемы ОС. 6-е издание. Часть 1 глава 7 понял, что надо копать в сторону WFP. На форуме обнаружил статьи по этому поводу и понял, что скорее всего да. Уже 4-й день работаю в этом направлении. И пока даже блокирование какого-либо порта не могу осуществить. Для достижения данной цели просматривал онлайн msdn, но не запускаются даже элементарные примеры(см. выше). Может ещё давит, что надо быстрее, быстрее...

Может ещё литература есть? В ближайшие минуты(на очереди) буду читать рекомендованные разделы документации SDK и DDK.

Сообщение от Убежденный

А зачем Вам вообще Windows SDK, если установлена 10 и 12 "Студии" ?
Я, к примеру, ставлю Windows 7 SDK, чтобы подключить некоторые
объявления для Windows 7 (типа ITaskbarList3) в Visual C++ 2008,
где их нет (ибо VS2008 вышла до выхода Windows 7), но для более
поздних версий Visual Studio этот SDK не нужен.

SDK и DDK устанавливал потому, что не разбираюсь в данной тематике(думал надо для работы WFP) + чтобы добраться до "священной" документации, на которую не однократно видел ссылки, рекомендации почитать и разобраться.

Убежденный · 17.05.2014, 21:15

Сообщение от Larets

Расскажите, пожалуйста (или может ссылку), основные этапы, для написание firewall.

Э-э (почесывая в затылке)...
Основной этап: постановка задачи и ее максимальная детализация.
Вы должны четко представлять, какие функции нужны, потому что
тема это очень разнообразная и сложная. Ну а дальше уже можно "плясать"
от имеющихся требований, решая конкретные подзадачи.

До сей работы с сетями вообще не сталкивался

А не рановато за фаервол браться ? Ой, тяжело Вам будет, если ни опыта
работы с сетями, ни с протоколами нету, и в ядре ничего не писали.
Я бы даже сказал, что задача будет практически неподъемной.

Может ещё давит, что надо быстрее, быстрее...

Быстро не получится, могу сказать наверняка.
Будет значительным успехом, если вообще что-то получится.

Может ещё литература есть? В ближайшие минуты(на очереди) буду читать рекомендованные разделы документации SDK и DDK.

SDK+WDK, там вся нужная информация есть. Плюс гугление всяких
технических вопросов. Например, у меня первый WFP callout никак не
хотел запускаться на Vista, пока я не узнал, что в доках ошибка и
определенный filter layer в Vista не поддерживается и нужно
делать по-другому. И это непрерывный процесс и очень долгий...

@Larets · 17.05.2014, 21:36 **[ТС]**

Дело в том, что это курсовая работа. И надо разобраться и написать. Первые результаты уже ко вторнику(в худшем случае). Я думал, что почитаю концепции в книжках, посмотрю детали реализации на форумах, додумаю что надо до выполнения, но не тут то было. Информации мизер. Поэтапного разбиения не нахожу.
Я понимаю задачу так: мне нужно прослушывать все порты, и на основе заголовков выполнять действия с приходящими данными. И скорее всего выше чем транспортный уровень. Буду разбираться с документацией SDK и DDK, надеюсь поможет. Завтра по результатам прочтения(частично) вопросы возникнут. В этом же тупике задам

Убежденный · 17.05.2014, 22:17

Сообщение от Larets

Дело в том, что это курсовая работа. И надо разобраться и написать. Первые результаты уже ко вторнику(в худшем случае).

Что конкретно подразумевается под первыми результатами ?

Я думал, что почитаю концепции в книжках, посмотрю детали реализации на форумах, додумаю что надо до выполнения, но не тут то было. Информации мизер. Поэтапного разбиения не нахожу.

Потому что за сложную задачу взялись. Тут по полочкам всего не разложить,
нужна серьезная квалификация в теории сетей, протоколов, нужно знать,
как устроен сетевой стек Windows, подсистема ввода-вывода и еще много чего.

Давайте так: Вы опишите, что конкретно хотите реализовать, а я
попробую подсказать нужные направления поисков, дать ссылки и т.д.

@Larets · 18.05.2014, 01:39 **[ТС]**

Временно не мог выйти в Интернет. Завтра(сегодня) только после 17:00 смогу в интернете быть с компьютера.

Спасибо

В результате мне нужно будет реализовать программу с графической оболочкой(на формах), которая реализует функции:
1) блокирует заданные программы(доступ в интернет) - firewall
2) копирует весь трафик заданных программ(или весь сетевой трафик) - сниффер
как по заданию = запись трафика(копирование информации);
3) показывает программы (установленные соединения; как я понимаю, если порт занят, то кто его занял);
как по заданию = список соединений(процесс порт IP);

Сообщение от Убежденный

Что конкретно подразумевается под первыми результатами ?

консольное ПО, которое реализует больше 50% функционала. Но лучше сразу буду реализовывать на формах, чтобы потом не мучаться с переносом; просто ввод вывод и 1 кнопка.

Консольное я обычно делаю, так как мне проще с вводом выводом.

Как я это себе представлял: Будет какой-то незамысловатый интерфейс позволяющий мне принимать трафик со всех портов, на каком-либо уровне. А там я уже сам буду решать на основе заголовков, что мне делать. Но почитав про протокол TCP тот же. Я уже хуже представляю как можно задержать трафик у себя, проанализировать пустить дальше. Ведь есть тайм-ауты на доставку. В общем пока мне тяжело представляется, как это будет реализовано, только если смотреть, что тот же фрагмент пришел или... ааааа. Но у меня ещё много энтузиазма и надежды разобраться в выбранной(почти самостоятельно) теме.

Убежденный · 18.05.2014, 11:56

Сообщение от Larets

Дело в том, что это курсовая работа. И надо разобраться и написать.

Так у Вас использование WFP является обязательным требованием ?
Или нет ?

Это я клоню к тому, что для осуществления задуманного нужно иметь
хотя бы базовые навыки программирования драйверов. Если их нет - в
эту область не стоит соваться, угробите проект и кучу времени впридачу.
Есть более легковесные (хотя не такие эффективные и секьюрные) варианты,
помимо WFP. Например, Layered Service Provider (LSP). Она реализуется
полностью в user mode, никаких тебе драйверов, отладчиков ядра,
inf-файлов и синих экранов, только юзермод. В Windows SDK есть парочка
рабочих примеров (папка netds/winsock/lsp), их можно взять за основу.

@Larets · 18.05.2014, 18:13 **[ТС]**

Сообщение от Убежденный

Так у Вас использование WFP является обязательным требованием ?
Или нет ?

Нет. Не является. Я пришел к этому инструменту после того, как понял, что winsock2, в частности raw socket, не поможет в написании firewall. А на winsock наткнулся, когда про снифферы смотрел. Сначала думал что winsock меня выручит, потом прочитал что нет,и нашел такой мощный инструмент WFP, но разобраться в нем не так то просто оказалось, и книжек по нему нет.

Сообщение от Убежденный

В Windows SDK есть парочка
рабочих примеров (папка netds/winsock/lsp), их можно взять за основу.

Спасибо. Посмотрю эти примеры.

@ArmanVanHelden · 28.02.2016, 11:30

Убежденный, Здравствуйте! У меня магистерская диссертация по программированию тоже на тему безопасности. Мне надо разработать антивирус либо firewall. Я хочу спросить: можно ли реализовать firewall с такой же функциональностью как у larets полностью в user mode не используя kernel mode ? или обязательно надо затрагивать kernel mode? нужны ли драйвера (их кажется называют callout? ) для разработки firewall или можно разработать без них ? Если обязательно нужны драйвера то можно ли скачать готовые драйвера и подключить, если да то как ? хотел бы ответ по подробней, потому что я не силен в системном и сетевом программировании. Спасибо.

Убежденный · 28.02.2016, 14:12