WFP 原理
(WIN7 32位开发驱动: X86的纯净版的KEY:
HTXFV-FH8YX-VCY69-JJGBK-7R6XP)
数据流处理: （入站和出站都是一样）
1. 一个包进入到了协议栈
2. 协议栈找到并发现一个shim(垫片)，应该就是很多的sublayer注册的地方。
3. 该shim(垫片)调用该特定的sublayer层注册的Classfication分类进行处理。
4. 在分类处理期间，过滤器开始工作，进行条件匹配，如果条件匹配上，那么就开始调用对应的callout
5. 如果过滤器的结果是匹配的，调用对应的callout的处理函数，classfyFn()
6. 垫片执行最终的过滤决定（permit还是deny）
WFP的架构图:
TCP流量包分析: (PC基本上的场景都是客户端，所以只是针对客户端进行分析)
1. TCP链接建立
- bind: FWPM_LAYER_ALE_BIND_REDIRECT_V4 (Windows 7 / Windows Server 2008 R2 only)
- bind: FWPM_LAYER_ALE_RESOURCE_ASSIGNMENT_V4
- connect: FWPM_LAYER_ALE_CONNECT_REDIRECT_V4 (Windows 7 / Windows Server 2008 R2 only) ---链接重定向
- connect: FWPM_LAYER_ALE_AUTH_CONNECT_V4 ----链接授权，允不允许连接
- SYN: FWPM_LAYER_OUTBOUND_TRANSPORT_V4 ----发送SYN
- SYN: FWPM_LAYER_OUTBOUND_IPPACKET_V4 ---IP层的SYN
- SYN-ACK: FWPM_LAYER_INBOUND_IPPACKET_V4
- SYN-ACK: FWPM_LAYER_INBOUND_TRANSPORT_V4
- FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4 ----链接建立
- ACK: FWPM_LAYER_OUTBOUND_TRANSPORT_V4
- ACK: FWPM_LAYER_OUTBOUND_IPPACKET_V4
2. TCP的数据流的传输
Client (sender)
- send
- data: FWPM_LAYER_STREAM_V4 ---数据层
- TCP segments: FWPM_LAYER_OUTBOUND_TRANSPORT_V4
- IP datagrams: FWPM_LAYER_OUTBOUND_IPPACKET_V4
WFP开发之路:
https://docs.microsoft.com/zh-cn/windows-hardware/drivers/network/windows-filtering-platform-callout-drivers2
大致就是： 先学习WFP架构，学习windows架构和驱动，选择windows的驱动模式(用户还是内核)，驱动编译，github的驱动示例，开发，编译，测试，调试，创建驱动包，给包签名然后发布等等.
WFP简介:
- Callout驱动的目的，可以进行深度检查，可以决定哪些数据阻止，哪些允许，哪些可以传递到下一个过滤器，或者病毒厂商，可以匹配病毒特征。
- 可以进行包的修改和重新注入到网络的包头。NAT地址转换，就是修改头进行转换。(DDProxy就可以直接修改UDP头)
- 可以进行流量内容修改，可以删除或者替换特定的单词。
- 流量日志，用于网络监控产品。
WFP中的Callout:
Callout驱动提供额外的过滤函数，通过注册一个或者多个callout在一个filterEngine中实现。
参考:
https://docs.microsoft.com/zh-cn/windows-hardware/drivers/network/windows-filtering-platform-callout-drivers2
https://msdn.microsoft.com/en-us/library/windows/desktop/aa363977(v=vs.85).aspx