挂钩来自内核驱动程序的进程套接字调用答案

【问题标题】：Hook process socket calls from kernel driver挂钩来自内核驱动程序的进程套接字调用
【发布时间】：2012-05-01 11:01:38
【问题描述】：

谁能给我一个内核驱动程序的例子，它可以挂钩进程套接字调用（发送、接收等）并用我自己的函数来拦截它？

谢谢！

【问题讨论】：

【解决方案1】：

您可以使用 TDI 过滤器在内核中执行此操作。看看这个：http://www.codemachine.com/article_tdi.html

但 TDI 过滤器适用于网络框架的协议级别。所以它是基于TCP/UDP协议等的。

如果你想实现这个更低。您可以尝试使用 NDIS 过滤器。看看这个：http://msdn.microsoft.com/en-us/library/windows/hardware/ff565492(v=vs.85).aspx

【讨论】：

不建议在 Vista 和更高版本的操作系统中使用 TDI 过滤器。它被认为在那个和后来的操作系统中被弃用，使用它会产生很多网络性能问题。如果可能的话，最好使用 Windows 过滤平台 (msdn.microsoft.com/en-us/library/windows/hardware/gg463267.aspx)。

【解决方案2】：

使用Winsock Layer Service Providers 可能会对您有所帮助。它允许您拦截 Winsock 调用，但在用户模式下。这使得开发更加顺畅，应用更加稳定。

【讨论】：