Hook NDIS.SYS入口

[0x00]    网上有很多讨论关于NDIS HOOK的文章,但大多只讲了WIN7之前的HOOK NDIS_OPEN_BLOCK下的例程,至于WIN7下怎么 HOOK以及如何做MINIPORT-HOOK,网络上则鲜有提及.根据前阵子的相关分析,我把NDIS HOOK总结一下

文章提交：zhouxiaoyong (zhouhongyun1978_at_gmail.com)NDIS HOOK是专业级防火墙使用的一种拦截技术，NDIS HOOK的重点是如何获得特定协议对应NDIS_PROTOCOL_BLOCK指针，获得了该指针，接下来就可以替换该协议所注册的收发函数,而达到拦截网络数据的目的。     获 得NDIS_PROTOCOL_BLOCK指针的方法一般是用NdisR

到网络安全不能不提到防火墙。目前国内防火墙多数是采用 TDI 技术, NDIS 可以算是较先进的技术了(如果您认为不是的话, 只能说明我落伍了, 呵呵) 网上缺少 NDIS 防火墙实现的技术细节说明.  经过2天的查找资料和分析已有的源代码再加上以前 NDIS 编程的基础很快对该技术有了初步的了解。该技术细节分析只涉及到怎样 Hook 到 Ndis.sys 中导出的内核函数。至于在 Hook

<br />1、TDI HOOK<br /> TDI Client利用TDI接口，向TDI Server发送IRP(I/O Request Packet)请求包，来获得TDI Server提供的服务。因此，可以利用分层驱动原理[5]，在TDI Client和TDI Server驱动之间加一层过滤驱动－FilterDriver.sys。对于TCP/IP协议而言，在Windows网络协议体系结构中是由Tcpip.sys驱动实现的。Tcpip.sys创建了几个设备对象，/Device/RawIp，/Device/

MAC地址是网络设备的唯一物理标识，其修改行为在操作系统中受严格管控；Windows通过NDIS网络驱动接口规范，在内核与用户态之间构建了多层校验机制。绕过注册表或UI层的简单修改极易被NDIS中间层驱动识别为异常操作，触发安全告警。Frida凭借用户态动态注入与函数级Hook能力，可精准劫持ndis.dll导出函数（如NdisOpenAdapter），在驱动加载前篡改内存中的NDIS_OPEN_PARAMETERS结构体，实现合法、隐蔽、无需重启的MAC伪装。该技术广泛应用于红队渗透、802.1X准入绕过

转： 网上有很多讨论关于NDIS HOOK的文章,但大多只讲了WIN7之前的HOOK NDIS_OPEN_BLOCK下的例程,至于WIN7下怎么 HOOK以及如何做MINIPORT-HOOK,网络上则鲜有提及.根据前阵子的相关分析,我把NDIS HOOK总结一下,网上有一些讨论 NDIS HOOK的文章,请读者先阅读那些文章对NDIS HOOK有个基本了解. [0x01...

ndis_hook.c00004 00014 #include 00015 00016 #include "adapters.h"00017 #include "av.h"00018 #include "memtrack.h"00019 #include "ndis_hk.h"00020 #include "filter.h"00021 #include "

NDIS HOOK是专业级防火墙使用的一种拦截技术，NDIS HOOK的重点是如何获得特定协议对应NDIS_PROTOCOL_BLOCK指针，获得了该指针，接下来就可以替换该协议所注册的收发函数,而达到拦截网络数据的目的。获得NDIS_PROTOCOL_BLOCK指针的方法一般是用NdisRegisterProtocol注册一个新的协议，所获得的协议句柄实际上就是一个NDIS_PROTOCOL

NDIS-Hook技术的工作机制是挂接网络驱动NDIS.SYS的函数库中的导出函数,在发向NDIS的请求之前就会被挂接并经过自己函数的处理。在Windows实现NDIS-Hook时有两种不同的思路可以利用。①对内核驱动NDIS.SYS的Exporttable进行Hook　在Windows下,可执行文件(包括DLL以及SYS)都是遵从PE(PortableExe-c...

---INLINE HOOK实现NDIS HOOK前面讲述了如何通过获取NDIS_PROTOCOL_BLOCK来实现NDIS HOOK，这里讲述第二种方法，那就是inline hook方法。说起inline hook，也不是什么新鲜玩意，无非是在一个函数的首部嵌入一个jmp机器指令，在该函...