Можно ли перехватывать пакеты localhost (127.0.0.1 в качестве пункта назначения) на уровне NDIS?

Я разрабатываю драйвер фильтра NDIS 6 для Win7 и Win8 для WinPcap и Nmap. Как вы знаете, Nmap — это сетевой сканер. Требование Nmap состоит в том, чтобы перехватывать пакеты локального хоста, такие как «ping 127.0.0.1», чтобы Nmap также мог протестировать саму локальную машину. Однако кажется, что пакеты localhost просто возвращаются в стек TCP/IP и никогда не доходят до уровня NDIS. Есть ли способ решить эту проблему? Например, добавление петлевого адаптера или что? Спасибо.


c windows driver ndis
person Yang Luo    schedule 10.08.2013    source источник

Ответы (2)


arrow_upward
2
arrow_downward

Вам понадобится вызов WFP для захвата пакетов обратной связи уровня 3. TCPIP имеет быстрый путь для замыкания на себя, который никогда не достигает уровня 2 в NDIS.

person Jeffrey Tippet    schedule 11.08.2013
comment
Насколько известно, вызов WFP не может обрабатывать чистые пакеты уровня 2, такие как ARP, потому что это не TCP/IP. И драйвер фильтра необходим для захвата чистых пакетов уровня 2, таких как ARP. Вот вопрос. Можно ли интегрировать драйвер фильтра NDIS и вызов WFP в один драйвер (например, npf.sys)? Драйвер фильтра NDIS перехватывает пакеты без замыкания на себя, а вызов WFP перехватывает пакеты с замыканием на себя. - person Yang Luo; 12.08.2013
comment
И вызов WFP, и LWF NDIS могут находиться внутри одного и того же двоичного файла драйвера. У них не было бы много общего между границами WFP и NDIS. Это действительно были бы два отдельных драйвера, упакованных вместе. Если вы хотите видеть материалы как уровня 2, так и уровня 3, это, вероятно, необходимо. (Обратите внимание, что WFP предоставляет несколько вариантов уровня 2, но они ограничены Windows 8+, поэтому вряд ли удовлетворит ваши кросс-платформенные потребности). - person Jeffrey Tippet; 12.08.2013

arrow_upward
1
arrow_downward

Вы можете перехватывать трафик локального хоста (127.0.0.1) в Windows, используя необработанные сокеты. Существует отличный инструмент под названием RawCap, который анализирует локальный хост и сохраняет захваченные пакеты в формате PCAP. http://www.netresec.com/?page=RawCap

person Erik    schedule 02.11.2013