xsinlink的博客

通常情况下，如果我们安装了一些第三方的安全软件之后，就会接管Windows的安全服务（Windows Defender）；这里主要的原因大概是防止系统安全软件太多，导致Windows性能下降。可以看到如下：以火绒为例，可以看到当系统安装了火绒安全软件之后，在Windows 安全中心的病毒和威胁防护就可以看到注册的安全软件信息了。当系统注册了第三方安全软件之后，Windows Defender防病毒服务就停止了；

如果我们仅仅需要对自己的窗口进行反截屏，那么使用设置好窗口的属性就可以了。如果我们需要对系统桌面进行反截屏，这种情况一般是防止桌面内容通过截屏被泄露，这样就需要使用我们对截屏行为进行拦截和处理了。

近期在云桌面中遇到许多情况都需要对应用层程序的函数进行HOOK，并需要对函数参数进行各种修改，以便能够在虚拟桌面里面支持一些特性（尤其是一些3D的场景）。因此这里最主要的就是需要对HOOK的进程进行注入，来实现HOOK函数的功能。在早期开发中，就实现过DLL注入的功能，不过都是基于用户层的注入来实现的，例如有远线程注入，消息钩子注入，用户层OPE注入。HOOK注入的第一步是需要找到一个函数，这个函数可以确保所有的进程启动的时候都会被调用，这个函数就是。下面的文章主要是针对HOOK函数的注入，这个函数是。

这里我们从三个实例（限流，UDP重定向，TCP重定向）大致了解TDI网络过滤驱动的基本应用场景；对于驱动防火墙的TDI网络过滤驱动复杂应用，我们需要将网络数据包进行截获以及重注入处理。对于TDI网络过滤驱动更加全面的使用，我们可以参考NetFilter SDK 2，该SDK链接为，可惜的是该SDK是一个收费的SDK，不过它提供了相关的Sample代码，包括TrafficShaper，TcpRedirector，DnsRedirector和SocksProxyServer还是非常具有参考性的。

网络数据包的过滤（包括connect，sendto，recvfrom等）。防火墙规则策略的管理。本地网络连接状态的查询。其中防火墙规则策略的管理应用以及网络状态信息的查询实现的比较简单，主要是响应用户层的各种//防火墙规则策略CTL_CODE。

首先我们来看一下Windows的网络模块架构，如下：ws2_32.dll提供了基本的socket相关函数（例如socketbindlisten等）。Windows在用户层提供了一种过滤网络数据包的HOOK方案，这个就是Layered service provider（也就是我们通常说的LSP），通过这种技术我们对网络包进行HOOK了，国内很多大厂用的都是这种技术。Socket是一种统一的规范，无论是Windows还是Linux他们对外提供的接口都是一样的。

fanotify主要使用。