WinDivert学习文档之五-————编程API（三）

最新推荐文章于 2025-09-21 09:02:09 发布
原创 最新推荐文章于 2025-09-21 09:02:09 发布 · 753 阅读 · 9 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#WinDivert #WFP #内核编程 #驱动编程 #Divert

5.3 WINDIVERT_ADDRESS

typedef struct
{
    UINT32 IfIdx;
    UINT32 SubIfIdx;
} WINDIVERT_DATA_NETWORK, *PWINDIVERT_DATA_NETWORK;

typedef struct { UINT64 Endpoint; UINT64 ParentEndpoint; UINT32 ProcessId; UINT32 LocalAddr[4]; UINT32 RemoteAddr[4]; UINT16 LocalPort; UINT16 RemotePort; UINT8 Protocol; } WINDIVERT_DATA_FLOW, *PWINDIVERT_DATA_FLOW;

typedef struct { UINT64 Endpoint; UINT64 ParentEndpoint; UINT32 ProcessId; UINT32 LocalAddr[4]; UINT32 RemoteAddr[4]; UINT16 LocalPort; UINT16 RemotePort; UINT8 Protocol; } WINDIVERT_DATA_SOCKET, *PWINDIVERT_DATA_SOCKET;

typedef struct { INT64 Timestamp; UINT32 ProcessId; WINDIVERT_LAYER Layer; UINT64 Flags; INT16 Priority; } WINDIVERT_DATA_REFLECT, *PWINDIVERT_DATA_REFLECT;

typedef struct { INT64 Ti
最低0.47元/天 解锁文章
WinDivert学习文档之五-————编程API（一）
jyl_sh的专栏
09-20 555
五、 编程API要使用WinDivert软件包，程序/应用程序必须：包括windivert.h头文件链接或动态加载WinDivert.dll动态链接库。
Windows7以上使用WFP驱动框架实现IP数据包截取（二）
fanxiushu的专栏
10-25 1万+
by fanxiushu 2017-10-23 转载或引用请注明原是作者。 接上文。 上文所说只要挂载其中的6个WFP过滤点，就可以截获IP层的所有数据包。 再把截获的数据包转发到应用层，应用层处理之后，再发给内核驱动，经过这样的过程，就完成一个数据包的处理过程。 IP数据包到达应用层之后，我们就可以随心所欲的实现某些功能。比如做流量分析，可以细化到端口和具体IP等， 可以做NAT转发，
WinDivert+VS2015——安装、学习、示例
jmhIcoding
02-22 8784
背景 导师布置一个主动测量的小任务： 在windows是实现主动修改某特定进程发出的IP数据包的IPID字段。 这个任务，说简单不简单，说复杂不复杂。主要是解决两个问题： 如何确定特定进程的数据包？简单起见能确定到传输层就行。 如何修改特定的数据包？ 关键在于如何拦截ip层的数据包，并修改它。因为修改是对流的“主动”行为，winpcap类似的东西是做不来的。而且因为需要修改的是IP层的东西...
WinDivert学习文档之五-————编程API（四）
jyl_sh的专栏
09-20 1394
更高的优先级值表示更高的优先级，其中WINDIVERT_PRIORITY_HIGHEST是最高优先级，0是中间优先级（也是一个很好的默认值），WINDIVERT_PRIORITY_LOWEST是最低优先级。注意，（WINDIVERT_FLAG_SNIFF | WINDIVERT_FLAG_DROP）或（WINDIVERT_FLAG_RECV_ONLY | WINDIVERT_FLAG_SEND_ONLY）的任何组合都被认为是无效的。WINDIVERT_FLAG_RECV_ONLY的别名。
WinDivert学习文档之五-————编程API（五）
jyl_sh的专栏
09-20 756
对于支持捕获的层，捕获的数据包/数据将被写入pppacket缓冲区。对于不捕获数据包/数据的层，pppacket参数应该为NULL， packetLen应该为零。当WinDivert句柄打开时，任何与过滤器匹配的数据包/事件将被捕获并排队，直到被WinDivertRecv（）处理。接收与传递给WinDivertOpen（）的过滤器匹配的单个捕获的数据包/事件。捕获的数据包保证具有正确的校验和或具有相应的*校验和标志未设置（参见WINDIVERT_ADDRESS）。捕获的数据包大于pPacket缓冲区。
WinDivert学习文档之五-————编程API（七）
jyl_sh的专栏
09-20 532
如果pAddr->Outbound字段为1，则数据包将被注入出站路径（即数据包离开本地机器）。否则，如果pAddr->Outbound为0，则数据包被注入入站路径（即到达本地机器的数据包）。注入的数据包必须具有正确的校验和或未设置相应的pAddr->*校验和标志。注入的数据包可以是从WinDivertRecv（）接收到的数据包，也可以是修改后的版本，或者是一个全新的数据包。在出站路径上注入入站数据包可能有效（对于某些类型的数据包），但是这应该被视为“未记录”的行为，并且可能在将来进行更改。
WinDivert学习文档之五-————编程API（十）
jyl_sh的专栏
09-20 214
成功时为TRUE，发生错误时为FALSE。使用GetLastError（）获取错误的原因。一个由WinDivertOpen（）创建的有效的WinDivert句柄。关闭由WinDivertOpen（）创建的WinDivert句柄。
WinDivert学习文档之五-————编程API（十一）
jyl_sh的专栏
09-20 800
请注意，这设置了数据包在被丢弃之前可以排队的最小时间。目前默认值是WINDIVERT_PARAM_QUEUE_TIME_DEFAULT，最小值是WINDIVERT_PARAM_QUEUE_TIME_MIN，最大值是WINDIVERT_PARAM_QUEUE_TIME_MAX。目前默认值是WINDIVERT_PARAM_QUEUE_SIZE_DEFAULT，最小值是WINDIVERT_PARAM_QUEUE_SIZE_MIN，最大值是WINDIVERT_PARAM_QUEUE_SIZE_MAX。
WinDivert学习文档之五-————编程API（十二）
最新发布
jyl_sh的专栏
09-21 481
获取一个WinDivert参数。成功时为TRUE，发生错误时为FALSE。使用GetLastError（）获取错误的原因。返回驱动程序的次要版本。返回驱动程序的主版本。
华为鸿蒙系统HarmonyOS学习之十：鸿蒙HarmonyOS微内核技术
热门推荐
jyl_sh的专栏
10-27 1万+
华为鸿蒙系统HarmonyOS学习之十：鸿蒙HarmonyOS发展史与未来
华为鸿蒙系统HarmonyOS学习之九：鸿蒙HarmonyOS发展史与未来
jyl_sh的专栏
10-20 1万+
华为鸿蒙系统HarmonyOS学习之九：鸿蒙的HarmonyOS发展史与未来
华为鸿蒙系统HarmonyOS学习之十四：方舟编译器
jyl_sh的专栏
04-12 1万+
华为鸿蒙系统HarmonyOS学习之十四：方舟编译器
windows内核开发学习笔记四十六：事件追踪（ETW）
jyl_sh的专栏
07-07 5094
Windows提供了统一的跟踪和记录事件的机制，称为ETW（Event Tracing For Windows）。用户模式应用程序和内核模式驱动程序都可以使用ETW来记录事件。ETW是直接由内核支持的事件记录机制。在它的框架结构中，共有三种组件： 控制器（Control）：负责启动、停止或配置事件记录会话。 提供者（Provider）：负责向ETW注册自己的事件类，并接受控制器的命令，以便启动或者停止它们所负责的事件类的记录过程。 消费者（Consumer）：负责有针对性地读取它们想要...
windows内核开发笔记十一：IRQL级别调用说明
jyl_sh的专栏
03-22 4399
windows内核开发笔记十一：IRQL级别调用说明 IRQL是Interrupt ReQuest Level，中断请求级别。处理器在一个IRQL上执行线程代码。IRQL是帮助决定线程如何被中断的。在同一处理器上，线程只能被更高级别IRQL的线程能中断。每个处理器都有自己的中断IRQL。 常见的IRQL级别有四个：Passive、APC、 Dispatch、DIRQL。 PASSIVE_LEVEL IRQL最低级别，没有被屏蔽的中断，线程执行用户模式，可以访问分页内存。 APC_LEVEL 只有
Detours学习之五：PayLoads有效负载和DLL导入编辑
jyl_sh的专栏
10-28 3856
PayLoads有效负载和DLL导入编辑 除了附加和分离detours函数的api外，detours包还包括附加任意数据段(称为有效负载)到Windows二进制文件和编辑DLL导入表的api。Detours中的二进制编辑api是完全可逆的;Detours在二进制文件中存储恢复信息，以便在将来的任何时候删除编辑。 Windows PE二进制文件格式。 上图显示了Windows Portable Executable (PE)二进制文件的基本结构。Windows二进制...
windows内核开发学习笔记十五：IRP结构
jyl_sh的专栏
04-15 3594
windows内核开发学习笔记十五：IRP结构 IRP(I/O Request Package)在windows内核中，有一种系统组件——IRP，即输入输出请求包。当上层应用程序需要访问底层输入输出设备时，发出I/O请求，系统会把这些请求转化为IRP数据，不同的IRP会启动I/O设备驱动中对应的派遣函数。 一、IRP类型 由于IRP是响应上层应用程序的。可想而知，IRP类型是与上层对底层设备的访问类型相对应。文件相关的I/O函数如：CreateFile/ReadFile/WriteFile/Clo.
Detours学习之十四：Detour 4.0 的编译
jyl_sh的专栏
10-29 3483
第一步：下载源码 地址 https://github.com/Microsoft/Detours/releases ，并解压至自己选择好的目录。例如 C:\work\detours\ 第二步：编译x86 ,32位的编译 打开VS 32位的命令行工具。这个可以是在开始——应用程序——vs2017找到。 输入： cd C:\work\Detours nmake -f makefile 即可得到32位的编译结果。 x64,64位的编译 选择x64的cmd。 输入： cd C:\work\De...
Detours学习之十三：Detours API用于将dll和有效负载插入新进程的api
jyl_sh的专栏
10-29 3362
用于将dll和有效负载插入新进程的api DetourCreateProcessWithDllEx DetourCreateProcessWithDlls DetourCopyPayloadToProcess DetourCopyPayloadToProcessEx DetourFinishHelperProcess DetourIsHelperProcess DetourRestoreAfterWith 一、DetourCreateProcessWithDllEx 创建一个新进程并将DLL
WinDivert-2.1.0-A: .NET版本驱动源代码发布
标题中提到的“WinDivert-2.1.0-A”指的是一个特定版本的Windows Diversion库的源代码，简称为WinDivert。WinDivert是一个开源的网络包捕获和重定向工具，它允许用户以编程的方式捕获和操作进出Windows系统的网络...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

jyl_sh

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值