应用层读取wfp防火墙阻断记录

已于 2023-08-16 00:34:01 修改
阅读量538 收藏
点赞数
分类专栏： 技术心得分享 文章标签： 网络 c++ windows
于 2023-08-16 00:32:14 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/QQ1113130712/article/details/132309838
版权

前言

之前的文档中，描写了如何对WFP防火墙进行操作[链接在此]，这篇文档中，描述如何获取WFP防火墙进行阻断的操作记录。

需要注意的坑点

  • 使用FWPM_NET_EVENT_TYPE获取防火墙日志时，需要注意，只有丢弃和内核丢弃，以及几个错误信息是所有操作系统都可用，其它类型无法应用到所有操作系统。所以我们一般不会使用FWPM_NET_EVENT_TYPE来获取防火墙的放行日志。如果有需要读取放行日志的话，可以查询安全日志5156的方式进行(下次专门写文档来描述常用的三种读取方式)。
  • 使用主动读取的方式，在极个别系统上可能存在少量内存泄露（在保障所有内存都按照MSDN的要求释放的基础上，24小时有几十K的级别，没有仔细进行过日志条数的量化。有明白的也请指教）
  • 订阅的方式仅支持win7/2008 R2以上操作系统，建议使用loadlibrary动态加载，避免模块在vista或2008（SP2）操作系统上整体运行失败。

读取阻断日志（方案一：主动读取）

阻断日志即防火墙返回FWP_ACTION_BLOCK动作的记录信息，读取流程大体上分为：创建枚举句柄、执行枚举、释放枚举句柄简单的三步。

创建枚举句柄

DWORD FwpmNetEventCreateEnumHandle0( 
                            HANDLE engineHandle, 
                            const FWPM_NET_EVENT_ENUM_TEMPLATE0 *enumTemplate, 
                            HANDLE *enumHandle 
                            );
  • 输入参数：
    • engineHandle：防火墙句柄，前一章提到过，使用FwpmEngineOpen0打开
    • enumTemplate：枚举的限制条件，常用的是枚举起止时间，也可以设置网络条件以供筛选。
    • enumHandle：输出函数，用于输出枚举句柄
  • 输出参数：
    • 成功返回0，错误时返回WFP Error Codes

执行枚举操作

DWORD FwpmNetEventEnum0( 
                        HANDLE engineHandle, 
                        HANDLE enumHandle, 
                        UINT32 numEntriesRequested, 
                        FWPM_NET_EVENT0 ***entries, 
                        UINT32 *numEntriesReturned 
                        );
  • 输入参数：
    • engineHandle：防火墙句柄，FwpmEngineOpen0打开
    • enumHandle：枚举句柄，由上一步创建
    • numEnteiesRequested：本次想要枚举的最大数量，如果想要一次性返回所有，可以传-1（0xffffffff）
    • entries：用于输出事件数组，需要使用FwpmFreeMemory0释放
    • numEntriesReturned：用于输出事件数目，用于枚举entries
  • 输出参数：
    • 成功返回0，错误时返回WFP Error Codes

释放枚举句柄

DWORD FwpmNetEventDestroyEnumHandle0( 
                            HANDLE engineHandle, 
                            HANDLE enumHandle 
                            );
  • 输入参数：
    • 没啥好说的，两个句柄，参照上面
  • 输出参数：
    • 同上

相关函数1：启用防火墙事件采集

默认防火墙事件采集就是处于开启状态，因此不调用这个函数在大多数系统上可以正常进行事件读取。但是也发现过某些系统需要调用后才可以进行事件读取，建议还是增加此函数的调用

DWORD FwpmEngineSetOption0( 
                HANDLE engineHandle, 
                FWPM_ENGINE_OPTION option, 
                const FWP_VALUE0 *newValue 
                );
  • 输入参数
    • engineHandle:防火墙句柄，由FwpmEngineOpen0打开
    • 需要设置的参数，这个地方可以设置的类型还是蛮多的，可以参考
    • 设置参数对应的值，当option为FWPM_ENGINE_COLLECT_NET_EVENTS时，newValue为1则代表启用。
  • 输出参数
    • 成功返回ERROR_SUCCESS， 失败返回 WFP Error Codes

参考代码

void enumDemoCode()
{
	FWPM_SESSION0 session = { 0 };
	ZeroMemory(&session, sizeof(session));
	session.displayData.name = demoSession;
	session.txnWaitTimeoutInMSec = INFINITE;
	session.flags = FWPM_SESSION_FLAG_DYNAMIC;

	HANDLE hEngine = NULL;
	DWORD dwResult = FwpmEngineOpen0(NULL, RPC_C_AUTHN_DEFAULT, NULL, &session, &hEngine);
	if (dwResult != ERROR_SUCCESS || hEngine == NULL)
	{
		std::cout << "FwpmEngineOpen0 Failed. ec:" << GetLastError() << std::endl;
		return;
	}

	FWP_VALUE0 inValue = {FWP_EMPTY};
	inValue.type = FWP_UINT32;
	inValue.uint32 = 1;
	FwpmEngineSetOption0(hEngine, FWPM_ENGINE_COLLECT_NET_EVENTS, &inValue);

	FWPM_NET_EVENT_ENUM_TEMPLATE0 enumTemplate = {0};

	SYSTEMTIME nowSystemTime;
	ZeroMemory(&nowSystemTime, sizeof(nowSystemTime));
	GetLocalTime(&nowSystemTime);

	FILETIME nowFileTime;
	ZeroMemory(&nowFileTime, sizeof(nowFileTime));
	if (SystemTimeToFileTime(&nowSystemTime, &nowFileTime))
	{
		enumTemplate.endTime.dwLowDateTime = nowFileTime.dwLowDateTime;
		enumTemplate.endTime.dwHighDateTime = nowFileTime.dwHighDateTime;
	}
	enumTemplate.startTime.dwHighDateTime = 0;
	enumTemplate.startTime.dwLowDateTime = 0;
	enumTemplate.numFilterConditions = 0;

	HANDLE hEnumHandle = NULL;
	dwResult = FwpmNetEventCreateEnumHandle0(hEngine, &enumTemplate, &hEnumHandle);
	if (dwResult != ERROR_SUCCESS || hEnumHandle == NULL)
	{
		std::cout << "Create Enum Handle Failed, ec:" << GetLastError() << std::endl;
		FwpmEngineClose0(hEngine);
		hEngine = NULL;
		return;
	}

	FWPM_NET_EVENT0** netEvents = NULL;
	UINT32 uEventNumber = 0;
	dwResult = FwpmNetEventEnum0(hEngine, hEnumHandle, INFINITE, &netEvents, &uEventNumber);
	if (uEventNumber > 0)
	{
		for (int eventPos = 0; eventPos < uEventNumber; eventPos++)
		{
			FWPM_NET_EVENT0* sigEvent = netEvents[eventPos];
			if (sigEvent->type != FWPM_NET_EVENT_TYPE_CLASSIFY_DROP)
			{
				continue;
			}

			if (sigEvent->header.ipVersion == FWP_IP_VERSION_V4)
			{
				std::wstring wstrLocalIp = ip2str(sigEvent->header.localAddrV4);
				std::wstring wstrRemoteIp = ip2str(sigEvent->header.remoteAddrV4);

				std::wstring wstrProtocol;
				switch (sigEvent->header.ipProtocol)
				{
				case 1:
					wstrProtocol = L"ICMP";
					break;
				case 6:
					wstrProtocol = L"TCP";
					break;
				case 17:
					wstrProtocol = L"UDP";
					break;
				default:
					wstrProtocol = L"Other:";
					wstrProtocol.append(std::to_wstring(sigEvent->header.ipProtocol));
					break;
				}

				std::wcout << wstrLocalIp << "[" << sigEvent->header.localPort << "] ==> " << wstrRemoteIp << "[" << sigEvent->header.remotePort << "] protocol:" << wstrProtocol << std::endl;
			}
		}
	}
       if (netEvents)
       {
              FwpmFreeMemory0((void**)&netEvents);
              netEvents = NULL;
       }

	if (hEnumHandle)
	{
		FwpmNetEventDestroyEnumHandle0(hEngine, hEnumHandle);
		hEnumHandle = NULL;
	}
	if (hEngine)
	{
		FwpmEngineClose0(hEngine);
		hEngine = NULL;
	}

	return;
}

执行结果
在这里插入图片描述

读取阻断日志（方案二：事件订阅）

使用事件订阅的方式在防火墙中读取日志，只需要开启和取消事件订阅即可

启动事件订阅

DWORD FwpmNetEventSubscribe0( 
                        HANDLE engineHandle, 
                        const FWPM_NET_EVENT_SUBSCRIPTION0 *subscription,
                        FWPM_NET_EVENT_CALLBACK0 callback, 
                        void *context, 
                        HANDLE *eventsHandle 
                    );
  • 输入参数
    • engineHandle：防火墙句柄，由FwpmEngineOpen0打开
    • subscription：需要订阅的通知类型
    • callback：订阅的回调
    • context：自定义指针，原封不动传递导callback函数
    • eventsHandle：订阅句柄，在FwpmNetEventUnsubscribe0中取消订阅
  • 输出参数
    • 成功返回ERROR_SUCCESS， 失败返回 WFP Error Codes

取消事件订阅

DWORD FwpmNetEventUnsubscribe0( 
                        HANDLE engineHandle, 
                        HANDLE eventsHandle 
                    );
  • 输入参数
    • engineHandle：防火墙句柄，由FwpmEngineOpen0打开
    • eventsHandle：订阅句柄，由FwpmNetEventSubscribe0返回
  • 输出参数
    • 成功返回ERROR_SUCCESS， 失败返回 WFP Error Codes

回调函数定义

void CALLBACK FuncFwpmNetEventCallback0(
                PVOID FwContext, 
                FWPM_NET_EVENT1* FwEvent
                )
  • 输入参数
    • FwContext：自定义指针，FwpmNetEventSubscribe0函数的context指针
    • FwEvent：订阅的事件
  • 输出参数
    • 无

参考代码

void CALLBACK FuncFwpmNetEventCallback0(_Inout_ PVOID FwContext, _In_ const FWPM_NET_EVENT1* FwEvent)
{
	if (FwEvent == NULL)
	{
		return;
	}

	if (FwEvent->header.ipVersion == FWP_IP_VERSION_V4)
	{
		std::wstring wstrLocalIp = ip2str(FwEvent->header.localAddrV4);
		std::wstring wstrRemoteIp = ip2str(FwEvent->header.remoteAddrV4);

		std::wstring wstrProtocol;
		switch (FwEvent->header.ipProtocol)
		{
		case 1:
			wstrProtocol = L"ICMP";
			break;
		case 6:
			wstrProtocol = L"TCP";
			break;
		case 17:
			wstrProtocol = L"UDP";
			break;
		default:
			wstrProtocol = L"Other:";
			wstrProtocol.append(std::to_wstring(FwEvent->header.ipProtocol));
			break;
		}

		std::wcout << wstrLocalIp << "[" << FwEvent->header.localPort << "] ==> " << wstrRemoteIp << "[" << FwEvent->header.remotePort << "] protocol:" << wstrProtocol << std::endl;
	}
	return;
}


void subscribeEvents()
{
	FWPM_SESSION0 session = { 0 };
	ZeroMemory(&session, sizeof(session));
	session.displayData.name = demoSession;
	session.txnWaitTimeoutInMSec = INFINITE;
	session.flags = FWPM_SESSION_FLAG_DYNAMIC;

	HANDLE hEngine = NULL;
	DWORD dwResult = FwpmEngineOpen0(NULL, RPC_C_AUTHN_DEFAULT, NULL, &session, &hEngine);
	if (dwResult != ERROR_SUCCESS || hEngine == NULL)
	{
		std::cout << "FwpmEngineOpen0 Failed. ec:" << GetLastError() << std::endl;
		return;
	}

	FWP_VALUE0 inValue = { FWP_EMPTY };
	inValue.type = FWP_UINT32;
	inValue.uint32 = 1;
	FwpmEngineSetOption0(hEngine, FWPM_ENGINE_COLLECT_NET_EVENTS, &inValue);

	HANDLE hSubScribeHandle = NULL;
	FWPM_NET_EVENT_ENUM_TEMPLATE0 eventTemplate = { 0 };
	eventTemplate.numFilterConditions = 0;

	FWPM_NET_EVENT_SUBSCRIPTION0 subscription = { 0 };
	subscription.enumTemplate = &eventTemplate;
	subscription.sessionKey = session.sessionKey;
	FwpmNetEventSubscribe0(hEngine, &subscription, FuncFwpmNetEventCallback0, NULL, &hSubScribeHandle);

	std::cout << "Event Subscribe Started....." << std::endl;
	getchar();

	FwpmNetEventUnsubscribe0(hEngine, hSubScribeHandle);

	if (hEngine)
	{
		FwpmEngineClose0(hEngine);
		hEngine = NULL;
	}
}

运行效果
在这里插入图片描述

yoyotiogo
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
WFP单实例应用程序示例
12-24
单实例应用程序示例 单实例应用程序示例 单实例应用程序示例
通过安全日志读取WFP防火墙放行日志
阶乘的闲庭信步
08-20 2131
之前的文档中，描写了如何对WFP防火墙进行操作以及如何在防火墙日志中读取被防火墙拦截网络通讯的日志。这边文档，着重描述如何读取操作系统中所有被放行的网络通信行为。读取系统中放行的网络通信行为日志，在win10之后的操作系统上，也可以通过前一篇提到的读取阻断日志的方式进行读取（以FWPM_NET_EVENT0.type字段区分），但是在较老的系统中却不支持直接读取。为了保持系统兼容性，可以通过读取操作系统安全日志（EventId:5156）的方式进行网络通信日志的采集。
WFP 驱动翻译第一章-关于Windows网络流量处理平台
最新发布
weixin_42133300的博客
10-26 359
WFP过滤驱动的学习。MSDN的翻译比较生硬，其他的博客可能又没有形成体系，所以，我来了。
测试可行wfp应用层demo
如鹿渴慕泉水的专栏
09-07 597
wfp
WFP防火墙在应用层的增删过滤器操作
阶乘的闲庭信步
04-25 2640
WFP防火墙的作用 WFP防火墙是在Vista/Win2008之后的操作系统中才引入的一套流量管控平台。提供一套API接口供开发人员调用。应用层和驱动层都有不同的模块可以调用。用于取代之前的LSP过滤器、TDI过滤器、NDIS过滤器等。通过WFP API，可以实现防火墙、网络管控工具等流量管控服务。 使用WFP防火墙时注意的事项 WFP防火墙仅在Vista/Win 2008以后的系统中方可生效。 在Vista/Win 2008中，过滤器的添加不支持"或"策略。如果需求中包含对个IP段、多个端口号、多个协议
WFP开发学习笔记
心碎瞬间的博客
12-13 5545
通过WFP获取、修改、放行、拦截数据
基于WFP模型的网络防火墙设计实现
03-25
WFP（Windows Filter Platform）是为网络过滤应用开发平台提供支持的API和系统服务的集合。WFP允许开发者编写代码和操作系统的网络协议栈交互。网络数据可以在到达目的地之前被过滤和修改。通过提供简单的开发平台，...
wfp驱动网络防火墙监控参考
06-13
wfp驱动网络防火墙监控参考，详细代码涉及到了防火墙，网络过滤等，只做参考使用。
SuperDriver_防火墙_windowsdriver_firewall_wfp
09-11
WFP网络驱动防火墙源码，可以拿去参考
wfp_wfp_
09-29
6. **实例应用**：PPT可能会通过实际示例来展示如何使用WFP来创建防火墙规则、监控网络流量或实现其他安全功能。 7. **性能和最佳实践**：由于WFP运行在内核级别，因此它的性能优化和正确使用至关重要。可能涵盖了...
WFP驱动--进程规则拦截
03-20
实现了对进程信息的获取，监控，并进行拦截操作，使用WFP，交流请私信，不定期看csdn
wfp简单的手写输入应用
06-01
标题中的“wfp简单的手写输入应用”指的是Windows Presentation Foundation（WPF）中实现的一个基本的手写输入功能。WPF是微软.NET Framework的一部分，用于构建桌面应用程序，它提供了丰富的用户界面设计工具和功能...
vsomeip源码梳理 -- Event订阅流程
变
10-09 4754
vsomeip request_event subscribe
Windows8核心态网络过滤研究
weixin_30355437的博客
06-08 288
Windows 8是微软公司推出的最新的客户端操作系统，内部名称Windows NT 80。相对于Windows NT 5.x，其网络结构变化非常大，原有的TDI，NDIS系统挂接方法不再适用。在Windows8系统中，微软引入了两种新的网络过滤系统，WFP和NDISfilter。WFP (Windows Filtering Platform)其包含从用户态到核心态的一系列应用层，根据需...
WFP 学习（一）——构架把握
热门推荐
jmhIcoding
02-18 1万+
Windows Filtering Platform Windows Filtering Platform(WFP) 是windows推出的用于TCP/IP协议栈五层各层里面对数据包进行交互操作的基础框架，该框架提供了一系列的API用于实现交互目的。这个框架的作用是为了取代之前的TDI/NDIS/LSP技术。 这个东西能够干啥呢？ 使用WFP API，开发者可以实现个人防火墙、入侵检测系统、防病毒...
Windows 筛选平台 (WFP)
Tinna_zhang的专栏
10-14 1万+
原文路径：：http://msdn.microsoft.com/zh-cn/library/windows/hardware/gg463267.aspx 引用于微软官方 Windows 筛选平台 (WFP) 更新日期: 5月 15日 2008年 此信息适用于以下操作系统： Windows Vista Windows Server 2008
AndroidStudio 放弃Gradle使用Android.mk
阶乘的闲庭信步
03-30 6287
默认你的工程接口如图所示 首先配置好NDK开发目录，在build.gradle的defaultconfig中配置好ndk选项 然后，在build.gradle(app)文件的android结构下，加入以下配置： sourceSets.main{ jniLibs.srcDir 'src/main/libs' jni.srcDirs = []
Windwos 驱动WFP
06-11
WFP (Windows Filtering Platform) 是 Windows 操作系统中的一种网络包过滤框架，它提供了一种通用的方式来处理网络流量。Windows 驱动程序可以使用 WFP API 来实现网络包过滤和处理功能。WFP 驱动程序可以通过注册自己的过滤器和层来实现不同的网络包处理功能，比如防火墙、流量监测、VPN 等。需要注意的是，开发 WFP 驱动程序需要一定的驱动程序开发经验和专业知识，因为它需要处理底层的网络协议和数据包结构。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值