费尔防火墙源代码阅读

最新推荐文章于 2021-01-11 11:42:55 发布

unicode1985

最新推荐文章于 2021-01-11 11:42:55 发布

阅读量5.9k

点赞数

CC 4.0 BY-SA版权

分类专栏：病毒与安全文章标签：防火墙 interface socket 网络数据结构 session

本文链接：https://blog.youkuaiyun.com/unicode1985/article/details/362886

费尔防火墙使用了重载系统提供的winsock.dll动态链接库的方法，实现网络数据包的检查；winsock.dll在系统启动时自动加载，ie等网络程序利用了其中提供的WSPSend、WSPRecv等函数实现数据包的收发过程；通过重载这个dll文件，费尔防火墙程序实现了自己的一个动态链接库xfilter.dll（好像是），其中导出了WSPStartup函数和XfIoControl函数，第一个函数将指向winsock.dll的lpWSPSocket、lpWSPCloseSocket、lpWSPConnect、lpWSPAccept、lpWSPSend、lpWSPSendTo、lpWSPRecv、lpWSPRecvFrom函数的指针指向自己实现的函数，名称就是去掉了lp前缀，这样就可以在数据包收发之前进行包检查，从而实现防火墙的功能，达到包过滤目的；这些替换函数称作钩子函数hook function。

ACL（maybe Access Control Link，访问控制链），用来过滤所有进出网络的包的规则库；费尔将规则存在这个链中，对每一个防火墙截获的包，利用规则进行相应的匹配，从而完成转发、丢弃等功能；这里用了一个类：CAclFile；规则类与包检查类的interface是CCheckAcl::GetAccessFromAcl函数。

来看看CAclFile类的内部结构吧！

费尔维护了一个名为xacl.cfg的文件，文件内容就是关于包过滤规则的；这样CAclFile类里就有一个CFile类成员mAclFile；文件内容就是CAclFile类的成员mAclHeader、mAclIntranetIP、mAclTime、mpAclDistrustIP、mpAclTrustIP、mpAclCustomIP、mpAcl这7个，参见XACL_FILE struct结构或者CAclFile::WriteAcl函数。

CAclFile类的其他成员函数大多就是围绕着添加、删除这些数据结构的了，或者是读取ACL、保存ACL等等。

WSPStartup函数是Service Provide Interface入口点，费尔防火墙代码中首先查找系统提供的原始的WSPStartup函数地址，然后调用这个系统提供的函数