细节解密NDIS协议驱动为什么能捕获到发送包

NDIS Loopback Discussion

http://www.ndis.com/ndis-ndis5/loopback/loopback.htm

Looping Back NDIS Packets

http://msdn.microsoft.com/en-us/library/ff557071.aspx

============================================================

XP2环境下的具体流程：

tcpip调用ndissend的时候

//////////////////////////////////////////

ndissend(miniport,mypacket)

{

)//这个标志貌似是协议驱动设置混杂模式就会设置上的，上面标志说明中提到，如果一个miniport有多个protocol绑定，只要有有其中一个就会设置上

if（miniport->flag&check_for_loopback）

{

ndisMLoopbackPacketX（ miniport, mypacket）

}

}

////////////////////////////

ndisMLoopbackPacketX（ miniport, mypacket）

{

if （(mypacket->Private.NdisPacketFlags & 0x20）//20= fPACKET_ALREADY_LOOPEDBACK

{ return ;}

ndis_packet * new_packet=NULL;

//ndisMIsLoopbackPacket会申请一个新的new_packet

is_LOOPBACK_ONLY = ndisMIsLoopbackPacket((_NDIS_MINIPORT_BLOCK *)miniport_block, (_NDIS_PACKET *)mypacket, &new_packet);

if （new_packet）

{

if ( pMini_block->MediaType != 7 ) // 7=NdisMediumArcnet878_2

{

确定要loopback上去了，加上20=fPACKET_ALREADY_LOOPEDBACK标志，说明已 经处理过了

mypacket->Private.NdisPacketFlags |= 0x20u;

ethFilterDprIndicateReceivePacket（miniport_block, new_packet）;

}

returnis_LOOPBACK_ONLY ;

}

////////////////////=================================================================

char __fastcall ndisMIsLoopbackPacket(_NDIS_MINIPORT_BLOCK *pMini_block, _NDIS_PACKET *ori_packet, _NDIS_PACKET **pNewPacket)

{

//里面会有目标地址是否为自身的判断，略过！

v7 = pMini_block2->MediaType;

if ( !v7 ) // mediatype =0 means NdisMedium802_3

{

判断

if ( !(BYTE2(pMini_block2->Flags) & 0x80) ) // 80，其实就是flags的800000标志，对应着SEND_LOOPBACK_DIRECTED

{}

else{

//一般情况下都是这个分支，说明miniport一般都设置了SEND_LOOPBACK_DIRECTED这个标志位

判断下包里面的MAC地址是不是本机的MAC地址，我们需要的情况是MAC地址不同

申请一个新包pNewPacket，把ori_packet数据copy到pNewPacket

if ( pNewPacket )

{

*pNewPacket = pNewPacket_allocated;//pNewPacket_allocated在前面已经copy好数据

pNewPacket_allocated->Private.NdisPacketFlags |= 2u;// 会多了fPACKET_IS_LOOPBACK, fPACKET_CLEAR_ITEMS这2个属性

pNewPacket_allocated->Private.Flags = v27->Private.Flags & 0x80 | 0x100;

} // 80就是DONT_LOOPBACK，但这里是与操作，如果原来没的话，也不会加上

// 100=IS_LOOPBACK_PACKET标明是loopback包

return 0;

}

}

}

PS：如果你想你发送的包不给捕获，很简单，只要把你的包加上DONT_LOOPBACK标志即可，默认是无这个标志的

////////////////////////////////

ethFilterDprIndicateReceivePacket（miniport_block, new_packet）

{

miniport_filter_header = mini_block->EthDB //_X_FILTER类型，这个_X_FILTER结构有NumOpens字段，标志有多少个协议绑定了它

//pBindInfo是_X_BINDING_INFO类型,

for ( pBindInfo = miniport_filter_header->OpenList; pBindInfo; pBindInfo = v89 )

{

v89 = pBindInfo->NextOpen; //取对应的_NDIS_OPEN_BLOCK

if ( !(pkt1->Private.Flags & 0x80) // // 80好像是DONT_LOOPBACK

{

v65 = pBindInfo->PacketFilters;

v66 = (unsigned __int8)(v65 & 0xA0) == 0;// a0就是NDIS_PACKET_TYPE_ALL_LOCAL和NDIS_PACKET_TYPE_PROMISCUOUS的组合

// 这里取值的来源是bindinfo链表，里面每个对应一个绑定信息,说明是针对指定设定的协议驱动，例如A驱动的设置成NDIS_PACKET_TYPE_PROMISCUOUS

// 但如果B协议驱动不设置NDIS_PACKET_TYPE_PROMISCUOUS的话，B协议驱动不能接收到。

v92 = v65 & 0xA0;

if ( v66 ) // 一些其它的协议会跳走。。例如TCP/IP，所以不会重复接收到发送出去的包

//

// 测试改了tcpip的这个标志位为0x8b后，tcpip!arprecv回调也能接收到发送出去的包，修改之前是不能的

{ //

// 在我把wireshark协议驱动的这个_X_BINDING_INFO->PacketFilters改为0xb后。

// 由于0xb&a0==0，所以改了之后，就收不到发送出去的包了。但还是能收到外部发来的包，

// 因为发送和接收的包indicate的路径不一样，前者是直接在send的时候判断是否要loopback就直接indicate了

JUMPOUT(v96, 8u, *(unsigned int *)loc_22FB1);//不符合就循环跳过。。例子中就是tcpip协议驱动不会接收到(出现JUMPOUT，是因为IDA识别函数的范围不准确）

}

//条件满足0xA0，调用协议驱动的接收例程，像wireshark为什么能截获发送包就是因为这里的调用了wireshark的协议驱动的ReceiveHandler

openblock = pBindInfo->NdisBindingHandle

openblock->ReceiveHandler（ ）

}

}

XP环境，粗略F5，粗略动态跟踪，不保证无错