NDIS InterMediate Driver - Обсуждение

[BlackStar]

Спасибо за ответ и inf-файлы. Попробовал установить passthru на другом компьютере - вроде бы не ругается. Вероятно, на моей машине из-за синих экранов и прочих экспериментов с инсталляцией остались какие-то записи в реестре и теперь при загрузке системы мне поятоянно напоминают об этом.
Теперь, собственно, не ясно какую именно функцию переделывать PtReceive или PtReceivePacket. Я взялся за PtReceive, потому что софтайс чаще вываливался на ней, и кроме того, решив проблему с копированием пакетов здесь, можно будет легко сделать это с минимальными изменеиями и в PtReceivePacket.
Далее. На сколько я понимаю, код с анализом пакета взят из passthru2 ?   Я уже изучил эти исходники и пришел к выводу, что это немного не то, что нужно. Потому как здесь просто берется LookAheadBuffer и анализируются заголовки пакета. В моем случае этого не достаточно     Мне просто необходимо будет пересобирать пакеты, чтобы не только работать с заголовками, но и менять данные и даже создавать на ровном месте свои пакеты, чтобы потом отправлять их в сеть. И, в данный момент, меня интересуют именно эти возможности NDIS драйверов. А значит, сейчас для меня стоит задача сделать механизм, который бы мог создавать пакеты (пусть даже пока копированием пришедших пакетов) и отправлять их в сеть и к приложению (пока, хотя бы, в сеть).
На данном этапе я просто запутался в этих Ndis-функциях и ничего уже не понимаю!

Имеем следующие функции:

NdisAllocateBufferPool()
NdisAllocatePacketPool()
NdisAllocateBuffer()
NdisAllocatePacket()
NdisDprAllocatePacket()
NdisChainBufferAtBack()
NdisChainBufferAtFront()
NdisTransferData()
 В конце концов NdisAllocateMemory() и NdisAllocateMemoryWithTag() !

Да здесь сам черт ногу сломает!

Плюс ко всему, мы имеем функцию PtReceive() с ее аргументами.

А теперь, внимание, вопрос!!!  Как взаимосвязаны эти функции (Ndis***) между собой и в каком порядке их нужно вызывать, чтобы получить копию пришедшего пакета в PtReceive?  От ДДК у меня уже рябит перед глазами! Из их объяснений у меня уже складывается впечатление, что многие функции делают одно и то же, но ведь это не так!

З.Ы.:  Послушался совета - устанавливаю WMware.

[sss]

Да, и еще один злободневный вопрос! Никак не разберусь с установкой passthru. Ну, то есть, конечно, он устанавливается и начинает работать, но только до первой перезагрузки - после нее сразу появляется сообщение о том, что найдено новое устройство "Passthru Miniport" и предлагается его установить! Что за аномалия??? Ведь, изначально, вроде как, всё ставится нормально! Как лечить этот трабл? На РСДНе молчит народ... Уж не знаю чтО и делать... Решил уж обнаглеть и поинтересоваться еще и здесь

Попробуй в другой системе, которая еще не знает твой драйвер, как он будет работать или удали любое воспоминание об твоих inf, минипортах и службах. Возможно, ты когда постоянно менял, удалял, переустанавливал и т.д. запутал ее (систему) напрочь. У меня было нечто подобное.

[BlackStar]

Да, похоже действительно дело именно в этом. После установки на чистую систему никаких нареканий не было.

[aks68]

З.Ы.:  Послушался совета - устанавливаю WMware.

Добрый день!
Небольшой офтоп.
Поскольку Вы уже начали с VMware, позволю себе несколько советов по организации рабочего места и среды. Это очень важно, т.к. в момент когда начинаешь сам формировать пакеты, требуется их обьективная оценка. Помимо этого я предлагаю Вам перейти на WinDbg, ибо ко всем его прочим достоинствам в нем имеется плагин для ковыряния NDIS пакетов.
Итак:
1. Устанавливаем VMware и конфигурируем один из 2х интерфейсов как bridged на физический NIC компьютера. Второй можно определить как Host Only.
2. Цепляем WinDbg (а не SoftIce!) на пайп сериального порта (как это сделать см ветку WinDBG + WMware).
3. Цепляем к-либо анализатор пакетов на физ. интерфейс к которому прикручен первый интерфейс Vmware.
4. Устанавливаем ОС на VMware, конфигурируем сеть и некоторые сервисы (я например включаю auto-login и IP-forwarding) и затем делаем snapshot виртуальной машины.

Все! Теперь можно выдохнуть

Пастру ставим один раз. Если появляется след версия passthru.sys, то просто периписываем ее в %WINDIR%\system32\drivers и ребутим машину.
Если драйвер завалит машину, (как например в вышеописанном случае с INF) то всегда можно сделать откат на сохраненный snapshot.
Так-же имеет смысл сразу-же проинсталлировать WMware tools  и расшерив каталог на хост-компьютере сделать map с WMvare, а так-же увеличить резолюцию экрана.

Теперь по поводу копирования пакета.
Просто так сказать мне нечего, сейчас я «в перерывах между боями» модифицирую PtReceive для копирования пакетов. Это может занять некоторое время. Как буду готов – отпишусь. Если у Вас что-то получится раньше – дайте знать.

С уважением,
Акс.

[BlackStar]

Спасибо за советы! Буду пробовать.
Над проблемой тружусь постоянно, поэтому выложу исходники как только что-то получится, если оно, конечно, хоть что-то получится

[BlackStar]

Странное дело! Такое впечатление, что под ВМваре не отрабатывает passthru! Я вставил в код int 3, установил на виртуальной машине и не вижу никакой реакции! В настройках выставил один адаптер - "Bridged: Connected directly to the physical network", и второй - "Host-only" (причем второй адаптер, настроенный на host-only, я добавил уже от безысходности, но не помогло). В чем дело??? Поможет ли теперь переустановка системы на виртуальной машине? Потому что изначально в настройках сетевых адаптеров стоял NAT. Хотя, думаю это никакой роли не играет.

[BlackStar]

Друзья, тут у меня созрел кое-какой вопрос!
В обработчике PtReceive() в passthru вызывается NdisGetReceivedPacket(), после чего, если указатель на пакет не нулевой, то создается новый NDIS_PACKET, копируются поля и вызывается NdisMIndicateReceivePacket(). При чем, как ни странно, я не вижу здесь копирования содержимого пакета! Что ж мы тогда отправляем???
Но интересней всего другое. А именно - почему вызывается NdisGetReceivedPacket() вместо получения всей пришедшей от адаптера информации путем вызова NdisTransferData()?!! Плюс ко всему, вообще не ясно зачем было вызывать NdisGetReceivedPacket() если в случае возвращаемого ей нулевого значения мы просто отправляем полученные данные с помощью NdisMEthIndicateReceive()! Мистика какая-то, ей богу! Так в чем же смысл вот таких вот телодвижений вместо вызова NdisTransferData()?

[aks68]

Странное дело! Такое впечатление, что под ВМваре не отрабатывает passthru! Я вставил в код int 3, установил на виртуальной машине и не вижу никакой реакции! В настройках выставил один адаптер - "Bridged: Connected directly to the physical network", и второй - "Host-only" (причем второй адаптер, настроенный на host-only, я добавил уже от безысходности, но не помогло). В чем дело??? Поможет ли теперь переустановка системы на виртуальной машине? Потому что изначально в настройках сетевых адаптеров стоял NAT. Хотя, думаю это никакой роли не играет.

Добрый день!
Не торопитесь все переустанавливать. Хоть это и рекомендуемый путь для M$ продуктов
Попробуйте проанализировать ситуацию.
1. Продукт установлен Ок?
•   Проверьте присутствие девайса (\Device\Passthru)
•   Проверьте привязку устройств к протоколам и адаптерам
2. Если он собран с поддержкой отладочных сообщений - проверьте их через запись в логах и DbgView например.
3. Если все вышеперечисленное работает - попробуйте провести единичный пакет и посмотреть через DbgView.

С уважением,
Акс.

[aks68]

Друзья, тут у меня созрел кое-какой вопрос!
В обработчике PtReceive() в passthru вызывается NdisGetReceivedPacket(), после чего, если указатель на пакет не нулевой, то создается новый NDIS_PACKET, копируются поля и вызывается NdisMIndicateReceivePacket(). При чем, как ни странно, я не вижу здесь копирования содержимого пакета! Что ж мы тогда отправляем???
Но интересней всего другое. А именно - почему вызывается NdisGetReceivedPacket() вместо получения всей пришедшей от адаптера информации путем вызова NdisTransferData()?!! Плюс ко всему, вообще не ясно зачем было вызывать NdisGetReceivedPacket() если в случае возвращаемого ей нулевого значения мы просто отправляем полученные данные с помощью NdisMEthIndicateReceive()! Мистика какая-то, ей богу! Так в чем же смысл вот таких вот телодвижений вместо вызова NdisTransferData()?

NDIS_PACKET,  как Вы уже наверное знаете, состоит из заголовка пакета (Packet Descriptor)  и блоков данных (Buffer Descriptor). Абстракция  заголовка NDIS_PACKET служит для хранения информации характерной для слоя NDIS. Сам же сетевой  пакет загружается в блоки данных, которые цепляются к  заголовку пакета, и вся эта котовасия отправляется в путь. Когда она прибывает на другой этаж, и в случае если нет необходимости в переделке самого сетевого пакета (ну там VPN или NAT какой...), то строится новый заголовок пакета, данные которого частично переписываются из исходного заголовка (так перецепляется дата) , а частично устанавливаются в соответствии с нуждами самого слоя NDIS (пример см. установку NDIS_STATUS_RESOURSES для нового заголовка пакета) и пакет отправляется дальше.  Если есть необходимость в проведении преобразования содержимого полученного пакета, то тут и потребуется копировать данные из блоков данных NDIS_PACKET-а локально и потом переупаковывать в новый пакет.
А по-поводу мистики, дело обстаит так: Passthru поддерживает так-же старые версии NDIS, не использующие заголовок пакета. Если таковое пришло, то Passthru всего-лишь отображает действия низлежащего Miniport-a, и вызывает соответствующую ф-ю с указанием привязки к вышерасположенному протоколу.


Помоему так (с) В.Пух.

[BlackStar]

И снова здавствуйте!
Хочу вам поведать о том, что я, после длительных мучений, всё-таки скопировал пакет и отправил его драйверу сетевой карты (если мне кто-то расскажет как здесь правильно выкладывать исходники, то я выложу код). Но тут появилась какая-то трудноразрешимая проблема. А заключается она в том, что после того как пакет был отправлен нижележащему драйверу сетевой карты, в passthru вызывается функция PtSendComplete(), которая призвана известить нас об отправке пакета. И тут начинается самое интересное.
Мы должны каким-то образом проаксептить этот момент. Для этого в драйвере изначально вызывается функция NdisMSendComplete(), куда передается указатель на отправленный пакет, его статус и MiniportHandle. Насколько я понял, этот MiniportHandle есть ни что иное как указатель на наш собственный минипорт, который создается в passthru. И, при вызове этой функции, система вываливается в синий экран. Вероятно, потому что наш минипорт понятия не имеет об этом пакете.
Очхорошо. Что мы делаем? Мы проверяем наш ли это пакет (то есть его ли мы создавали только что искусственно) и, если он действительно наш, то мы просто вызываем NdisFreePacket(Packet) и возвращаем управление.
При таком подходе PtSendComplete() тут же вызывается снова, при этом мы получаем тот же самый пакет, что и в предыдущем вызове! То есть, система зацикливается и, через несколько секунд, снова вываливается в синий экран с соответствующим багчеком.
А значит, нужно каким-то образом известить систему о том, что мы получили Наш пакет обратно и больше он нам не нужен.
Но как это правильно сделать? Какие есть идеи?

[sdwdd]

Господа,
у меня немного другая задача(не знаю туда попал или нет).

Мне нужно просто послать HTTP POST запрос в веб(скрываясь от файрвола).
Что-то типа:

POST /getdata.php HTTP/1.1
Host: serfant.net

--binary data--
EOF

Есть идеи?

[Finch]

sdwdd, Этот вопрос тянет на виросо вредительство. Если не объясниш, для чего тебе надо обходить файрвол, я буду вынужден удалить тему. Как нарушаюшую правила форума.

[sdwdd]

Ради спортивного интереса.

[Finch]

Тогда на усмотрение Администрации. Я лично рекомендую удалить тему.

[BlackStar]

А лично я, рекомендую не лезть в чужие дела. Да пусть тут хоть Бен Ладен вопросы задает! Это его личное дело! Вы тогда уж у каждого интересуйтесь с какими целями он увлекается той или иной темой.
Друзья, времена славного социалистического общества давно прошли! И нечего совать нос не в свое дело.

[sdwdd]

Я конечно согласен с HempStar насчет корректности товарища Finch-a.
Но предлагаю перейти собсно к обсуждению сути вопроса.

[Finch]

Глубокоуважаемый HempStar, прочтите пожайлуста Правила форума. В частности пункт 2.4. Вы поймете, как модератор форума, я обязан сделать предупреждение.
Любая информация по данному вопросу будет связана со взломом программного обеспечения. Я знаю, как это примерно можно сделать, или по крайней мере смогу найти в нете статью на эту тему.

[SlavaI]

Вобще это длинная и давно живущая ветка, так что наверно не надо тут обсуждать друг друга, обидно ее закрывать из-за того что ее захламлят выяснением отношений. Так что попрошу больше не обсуждать других участников и НЕ ОТВЕЧАТЬ на этот пост. Пусть только по теме общаются тут люди.

[aks68]

Добрый день, уважаемые!

Позвольте мне для начала один маленький офф-топ (приводится по-памяти  , так-что если несовпадет с оригиналом  ...)

Вышел Ходжа Насреддин на базарную площадь, и обратился к горожанам:
- Уважаемые, знаете-ли вы, что я хочу рассказать?
- Нет, - отвечают горожане.
- Ну, раз незнаете, то о чем с вами можно говорить? – сказал Ходжа Насреддин, и гордо удалился...
На следующий день снова вышел Насреддин на базарную площадь и обратился к горожанам с тем-же вопросом. Наученные «горьким опытом» горожане на этот раз ответили ему: - Да, знаем!
- Ну, раз знаете, то и говорить с вами неочем,- сказал Ходжа Насреддин, и гордо удалился...
Тогда горожане договорились что на следующий день одна половина собравшихся будет отвечать «да», а вторая «нет».
Когда назавтра Насреддин в трейтий раз обратился к горожанам, и они ответили ему так, как договаривались, то Насреддин парировал:
- Ну тогда пускай те, которые знают расскажут тем, которые незнают. А мне здесь вообще делать нечего! ,- и гордо удалился...

    

Это так, к слову ...

А по тему я думаю все-таки стоит попробовать осторожно обсудить (форум, как я понимаю, модерируемый, и в случае чего особо «зловредные» высказывания можно и потереть...) ибо поговорить стоит не о “proof of concept” или кусках кода, а лишь о «границах применения фильтрации сетевого трафика в процессе создания защитных систем»...
Кроме того, как мне кажется у данного обсуждения будут еще несколько побочных результатов:
1.   Народ поймет, что одна лишь фильтрация – не панацея, и если хочешь создать реально защищающий продукт,- надо делать что-то еще...
2.   Народ поймет, что это не так просто, обходить целые слои сетевой архитектуры, которую понагородили пацаны из Редмонда, и что они ее в общем-то не просто так понагородили.
3.   Еще одно обсуждение позволит людям глубже понять функционирование NDIS-а

Ну и напоследок, мое вам ИМХО, самое печальное это то, что появилось море хакерского софта высокой юзабильности (читай пригодного для использования алигофренами только и умеющими тыкать по кнопке ПУСК), и это вовсе не результат таких-вот форумских терок.

Так что уважаемые модераторы – за вами слово...

Акс.

PS: Это не ответ Славе
 

[Mirdek]

Вот основные вопросы, которые я хочу осветить:
1. PassThru  -- разбираем пример от А до Я
2. Добавляем в PassThru модульь по взаимодействию с User-приложениями (DeviceControl)
2.1 Добавляем возможность перехвата молемных пакетов а так же пакетов от сетевух 10бит.
3. Учимся модифицировать пакеты
4. Прилинковываем к драйверу библиотеку
5. Учимся накалывать винду -- в драйвер приходит несколько пакетов, мы их собираем и отправляем на верх один большой и наоборот.
Ну если не статьи, так в форуме покажу

и где всё это чудо почитать можно?

[BlackStar]

и где всё это чудо почитать можно?

Боюсь, что нигде    Лично я так и забросил тему NDIS-фильтров и мой проект лег в саааамый дальний ящик. А жаль
К сожаленью, сабжевой литературы на русском языке крайне мало и единственная книга, где хоть как-то упоминаются эти возможности и примерные варианты их реализации, это - "Программирование драйверов и систем безопасности" Учеб. пособие  / Сорокина С. И., Тихонов А. Ю., Щербаков А. Ю.     Только никаких исходников в этой книге, к моему превеликому разочарованию нет.

А вообще, как последний вариант, предлагаю отправить письмо глубоко-уважаемому Kife с соответствующей просьбой от всего комьюнити. Может он всё-таки решится довести до конца свои начинания    Хотя, конечно, надежды мало...

[Ochkarik]

угу ... письмо письмо! )
и моя темка с вопросиком безответная осталась... 

[Kife]

угу ... письмо письмо! )
и моя темка с вопросиком безответная осталась... 

Мля. Мужики. Извините. Хотя знаю, нет мне прощения.
Короче: я просто выпал из девелоперской жизни до вчерашнего дня. А теперь я снова занимаюсь данной проблемой (NDIS ). Так что, все еще актуально. Не знаю, на сколько хватит времени и сил писать статью... но , по крайней мере, будем чтото тут обсуждать. И еще. У меня сменился e-mail, но пока я его тут публиковать не хочу, так что кому надо - говорите, я в личку кину.
С уважением. Леха ака Kife.

[Гром]

Kife, рад тебя видеть !!!
С возвращением в наши ряды.

А тема и статьи - поверь мне будут восстребованы.
Можешь просто взять для начала раскритиковать первые статьи по драйверам на сайте, по именно passthru драйверу, затем вперед - указывая недостатки.

[new_s]

хм
Открываем архивные файлы)))

[Kife]

И так..что кого инересует. давайте вопросы. будем вспоминать!

[new_s]

Что такое NDIS InterMediate Driver?)))

[VIKT0R]

И так..что кого инересует. давайте вопросы. будем вспоминать!

Фильтрация данных.

[Гром]

Что такое NDIS InterMediate Driver


Драйвер - находящийся в стеке драйверов между драйвером устройства и драйвером (библиотекой) протокола.

NDIS - система, оболочка, позволяющая встраивать в себя по идее несколько драйверов со стандартным интерфейсом обмена данными между ними и собой, даюы данные проходя по стеку вниз к устройству обрабатывались соответствующим образом как необходимо.

В реальности работает (работало в 2001 году) на 2000 винде только 1 драйвер указанного типа.

[Udmitriy]

Привет всем щас занимаюсь исследованиями в области - как работать с драйверами сет карты на VB 6.0 и ни .. не выходит кто-нибудь такое встречал если встречал киньте ссылку(винсокет не надо я уже начитался о них - меня интересует ndis.sys если кто-нибудь с ним работал на vb поделитесь инфой (любой))