Win64 驱动内核编程-16.WFP网络监控驱动（防火墙）

WFP驱动监控网络

    WFP 是微软推出来替代 TDI HOOK、NDIS HOOK 等拦截网络通信的方案，WFP 的框架非常庞大，在 RING3 和 RING0 各有一套类似的函数，令人兴奋的是，即使在 R3 使用 WFP，也可以做到全局拦截访问网络。由于 WFP 的范围太广，实在难以一言概括，感兴趣的朋友可以自行到 MSDN 上查看微软对它的官方概述。本文的目的，是给大家理顺 WFP 的框架，并利用 WFP 拦截指定进程访问网络，或拦截对指定 IP 地址/端口的访问。

    一个标准的 WFP 程序大体是这样子的： 首先使用 FwpmEngineOpen  开启 WFP  引擎 （获得个 一个 WFP  的 使用 句柄） ）用 ，然后用 FwpmTransactionBegin  设置 对网络通信 内容 的 过滤 权限（是只读） 还是允许修改） ， 然后用 FwpsCalloutRegister 、FwpmCalloutAdd 、FwpmFilterAdd  选择你 要过滤的内容， 并 添加 过滤器对象 和 回调函数， 最后用 用 FwpmTransactionCommit  确认刚才的内容， 让 刚才添加的 回调函数 开始生效 。 当用 你不用 WFP  的 时候， 就要用FwpmFilterDeleteById 、