【導(dǎo)讀】當(dāng)今時(shí)代是飛速發(fā)展的信息時(shí)代，計(jì)算機(jī)與信息處理技術(shù)日漸成熟。Inter和計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的蓬勃發(fā)展，網(wǎng)絡(luò)安全問題現(xiàn)在已經(jīng)得到普遍重視。網(wǎng)絡(luò)防火墻系統(tǒng)就是網(wǎng)絡(luò)安全技術(shù)在實(shí)際中的應(yīng)用之一。本設(shè)計(jì)實(shí)現(xiàn)的防火墻采。隨后使用這個(gè)過濾鉤子來決定如何處理進(jìn)出系統(tǒng)的數(shù)據(jù)包。以下幾個(gè)模塊組成：過濾規(guī)則添加模塊，過濾規(guī)則顯示模塊，過濾規(guī)則存儲(chǔ)模塊，文件儲(chǔ)存模塊，安裝卸載規(guī)則模塊，IP封包過濾驅(qū)動(dòng)功能模塊。

　　

【正文】 l。 rules[i 1].action = rules[i].action。 } } nRules。 } DeleteRule()調(diào)用的流程圖如圖 6。 圖 6 DeleteRule()的調(diào)用 驅(qū)動(dòng)程序設(shè)計(jì) 簡(jiǎn)介 基于 FirewallHook Driver 的包過濾驅(qū)動(dòng)程序位于核心態(tài)，運(yùn)行效率高，主要用于在 IP 過濾驅(qū)動(dòng)中攔截所有的網(wǎng)絡(luò)數(shù)據(jù)包，根據(jù)過濾規(guī)則判別是否接 收或發(fā)送數(shù)據(jù)包。同時(shí)處理上層應(yīng)用程序發(fā)送的 IRP，接收應(yīng)用程序發(fā)送的過濾規(guī)則等。 安裝過濾函數(shù)之前，先將過濾函數(shù)的地址填入 IP_SET_FIREWALL_HOOK_INFO結(jié)構(gòu)的 FirewallPtr 指針中， Add 設(shè)置為 TRUE，并指定該過濾函數(shù)優(yōu)先級(jí)Priority，然后向 IP 設(shè)備發(fā)送 IOCTL IOCTL_IP_SET_FIREWALL_HOOK 控制碼，這樣就完成了過濾函數(shù)的安裝。卸載過濾函數(shù)的時(shí)候只用把 Add 設(shè)置為FALSE 就行了，其他參數(shù)和安裝時(shí)一樣。 刪除 開始 是最后一條規(guī)則？ 后 面規(guī)則往前移 刪除 結(jié)束 取得當(dāng)前規(guī)則 否 是 第 14 頁(yè) 共 21 頁(yè) 每個(gè)過濾函數(shù)可以設(shè)置一個(gè)優(yōu)先級(jí)，系統(tǒng)調(diào)用這些函 數(shù)的時(shí)候按照優(yōu)先級(jí)的順序進(jìn)行，直到某個(gè)函數(shù)返回 “ 丟棄包 ” 為止。如果所有的過濾函數(shù)都返回 “ 允許包 ” ，那么這個(gè)包才能順利通過系統(tǒng)。可以把這些過濾函數(shù)想象成一個(gè)過濾鏈，所有的函數(shù)按照優(yōu)先級(jí)排列，如果一個(gè)函數(shù)返回 “ 丟棄包 ” ，這條過濾鏈就斷開了。 結(jié)構(gòu)圖 驅(qū)動(dòng)程序結(jié)構(gòu)如圖 7。 圖 7 驅(qū)動(dòng)結(jié)構(gòu)圖 該驅(qū)動(dòng)的優(yōu)點(diǎn) 在 Windows 中這不是開發(fā)防火墻的唯一方法，其它的有諸如 NDIS 防火墻，TDI 防火墻， Winsock 分層防火墻，包過濾 API 等等。而 FilterHook Driver 的優(yōu)點(diǎn)在于： 這種方法所擁有的彈性可以使你過濾所有 IP 層（或以上）的通訊。但不能過濾更低層的頭部數(shù)據(jù)，例如：不能過濾以太幀數(shù)據(jù)。需要用 NDIS 過濾器來做。 這是一種簡(jiǎn)單的方法。安裝防火墻和執(zhí)行過濾功能非常簡(jiǎn)單。但包過濾API(Packet Filtering API)更加容易使用，盡管它缺少?gòu)椥?，例如不能處理包的?nèi)容，不能用包過濾 API 修改內(nèi)容。 本程序的驅(qū)動(dòng)設(shè)計(jì) 本程序驅(qū)動(dòng)的設(shè)計(jì)核心是 通 過 使用 TDriver 類向 DrvFltIp 驅(qū)動(dòng)程序發(fā)送控制代碼（ START_IP_HOOK、 STOP_IP_HOOK、 ADD_FILTER、 CLEAR_FILTER） ， 第 15 頁(yè) 共 21 頁(yè) 達(dá)到實(shí)現(xiàn)數(shù)據(jù)包過濾的目的 。 程序初始化時(shí)， 調(diào)用 LoadDriver()加載 DrvFltIp 驅(qū)動(dòng)： CMainFrame::OnCreate() { (IpFilterDriver,System32\\Drivers\\,NULL,TRUE)。 } 當(dāng)用戶單擊 “ 開始過 濾 ” 按鈕時(shí)，程序向驅(qū)動(dòng)發(fā)送 START_IP_HOOK 控制代碼，開始過濾： CMainFrame::OnButtonstart() { (START_IP_HOOK,NULL,0)。 } 當(dāng)用戶 單擊 “ 停止過濾 ” 按鈕時(shí)，程序向驅(qū)動(dòng)發(fā)送 START_IP_HOOK 控制代碼，停止過濾： CMainFrame::OnButtonstop() { (STOP_IP_HOOK,NULL,0)。 } 當(dāng)用戶 單擊 “ 安裝規(guī)則 ” 按鈕時(shí)，程序 向驅(qū)動(dòng)發(fā)送 ADD_FILTER 控制代碼 : CMainFrame::OnButtonInstall() { AddFilterToFw()。 } AddFilterToFw() { (ADD_FILTER, amp。pf, sizeof(pf))。 } 當(dāng)用戶單擊 “ 卸載規(guī)則 ” 按鈕時(shí)，程序向驅(qū)動(dòng)發(fā)送 CLEAR_FILTER 控制代碼 : CMainFrame::OnButtonuninstall() { (CLEAR_FILTER, NULL, 0)。 第 16 頁(yè) 共 21 頁(yè) } 6 程序測(cè)試 計(jì)算機(jī)位于網(wǎng)關(guān)地址為 的局域網(wǎng)內(nèi)，本地 IP 地址為： 。通過局域網(wǎng)連接于外部網(wǎng)絡(luò)，可以 PING 通本地網(wǎng)關(guān)地址 和電信 DNS 服務(wù)器地址 ， 如圖 8 和圖 9。 圖 8 PING 圖 9 Ping 運(yùn)行防火墻，點(diǎn)擊“添加”按鈕進(jìn)行過濾規(guī)則設(shè)置 ，如圖 10。 第 17 頁(yè) 共 21 頁(yè) 源地址： 目的地址 端口號(hào) ： 0（所有端口） 協(xié)議：由于 PING 命令基于 ICMP 協(xié)議，所以協(xié)議選擇： ICMP 行為：丟棄 圖 10 添加規(guī)則圖 點(diǎn)擊“添加”按鈕將規(guī)則保存到防火墻：如圖 11。 圖 11 規(guī)則示圖 第 18 頁(yè) 共 21 頁(yè) 點(diǎn)擊“安裝”防火墻將過濾規(guī)則添加到過濾驅(qū)動(dòng)，點(diǎn)擊“開始”防火墻開始按照規(guī)則進(jìn)行數(shù)據(jù)包過濾，如圖 12。 圖 12 開始過濾圖 由圖 12 可以看出原來本地計(jì)算機(jī)可以和本地網(wǎng)關(guān)（路由器）進(jìn)行 ICMP 數(shù)據(jù)包收發(fā)，也能和電信 DNS 服 務(wù)器進(jìn)行數(shù)據(jù)包收發(fā)。而當(dāng)防火墻設(shè)置為過濾源地址為 、協(xié)議為 ICMP 的規(guī)則之后運(yùn)行，本地計(jì)算機(jī)將不能和本地網(wǎng)關(guān)（路由器）進(jìn)行數(shù)據(jù)包收發(fā)， PING 命令顯示為“ Request timed out”。但是本地計(jì)算機(jī)還能和電信 DNS 服務(wù)器 進(jìn)行數(shù)據(jù)收發(fā)。 結(jié) 論 此防火墻操作簡(jiǎn)單， 能夠?qū)崿F(xiàn)包過濾功能。 按照用戶設(shè)置的規(guī)則進(jìn)行數(shù)據(jù)包過濾 。 能運(yùn)行于 Windows 系統(tǒng)， 屏蔽不安全的站點(diǎn) 、 對(duì)進(jìn)出的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行過濾， 在一定程度上 提高了系統(tǒng)的安全性，可有效的防止計(jì)算機(jī)受到 外部網(wǎng)絡(luò)攻擊。此防火 墻的開發(fā)是在了解和熟悉了 TCP、 UDP、 ICMP 協(xié)議以及 IP 封包過濾驅(qū)動(dòng)的基礎(chǔ)上，運(yùn)用 VC++這一編程語(yǔ)言來開發(fā)的。 相對(duì)于互聯(lián)網(wǎng)上的知名防火墻相比整個(gè)防火墻還不成熟，但它具有操作 簡(jiǎn)單明了的特點(diǎn)。在以后的學(xué)習(xí)中隨著自身技術(shù)的提高，我會(huì)進(jìn)一步完善整個(gè)防火墻，使它具有更多的功能對(duì)計(jì)算機(jī)安全起到更好的作用。 通過這次畢業(yè)設(shè)計(jì)的編程，使我對(duì)網(wǎng)絡(luò)編程和防火墻技術(shù)有了新的認(rèn)識(shí)，同時(shí)我也對(duì) VC++這一編程語(yǔ)言有了更深的了解。對(duì)以后的學(xué)習(xí)和工作 都有 很大的 第 19 頁(yè) 共 21 頁(yè) 幫助。 參考文獻(xiàn) [1] 張?jiān)?.Visual C++網(wǎng)絡(luò)程序設(shè)計(jì)實(shí)例詳解 [M].北京：人民郵電出版社 ,2021。 [2] Keith ,Richard [M].北京：機(jī)械工業(yè)出版社 ,2021。 [3] 朱雁輝 .Windows 防火墻與網(wǎng)絡(luò)封包截獲技術(shù) [M].北京：電子工業(yè)出版社 ,2021。 [4] 黎連業(yè) ,張維 .防火墻及其應(yīng)用技術(shù) [M].北京：清華大學(xué)出版社 ,2021。 [5] Steven C++ 輕松進(jìn)階 [M].北京： 電子工業(yè)出版社 ,2021。 [6] John C++MFC 編程實(shí)例 [M].北京：機(jī)械工業(yè)出版社 ,2021。 [7] 張海棠 .Visual C++ 編程指南 [M].北京：航空工業(yè)出版社 ,2021。 第 20 頁(yè) 共 21 頁(yè) 致 謝 本文是在索望老師的熱情關(guān)心和指導(dǎo)下完成的，他淵博的知識(shí)和嚴(yán)謹(jǐn)?shù)闹螌W(xué)作風(fēng)使我受益匪淺，對(duì)順利完成本課題起到了極大的作用。在此向他表示我最衷心的感謝！ 在論文完成過程中，本人還得到了 王守兵 同學(xué)的熱心幫助，本人向他們表示深深的謝意！ 最后向在百忙之中評(píng)審本文的各位專家 、老師表示衷心的感謝！ 作者簡(jiǎn)介： 姓 名：劉鐘 性別： 男 出生年月： 1982 年 3 月 民族： 漢 Email: 第 21 頁(yè) 共 21 頁(yè) 聲 明 本論文的工作是 2021年 2月至 2021年 6月在成都信息工程學(xué)院網(wǎng)絡(luò)工程系完成的。文中除了特別加以標(biāo)注地方外，不包含他人已經(jīng)發(fā)表或撰寫過的研究成果，也不包含為獲得成都信息工程學(xué)院或其他 教學(xué)機(jī)構(gòu)的學(xué)位或證書而使用過的材料。除非另有說明，本文的工作是原始性工作。 關(guān)于學(xué)位論文使用權(quán)和研究成果知識(shí)產(chǎn)權(quán)的說明： 本人完全了解成都信息工程學(xué)院有關(guān)保管使用學(xué)位論文的規(guī)定，其中包括： （ 1）學(xué)校有權(quán)保管并向有關(guān)部門遞交學(xué)位論文的原件與復(fù)印件。 （ 2）學(xué)?？梢圆捎糜坝?、縮印或其他復(fù)制方式保存學(xué)位論文。 （ 3）學(xué)?？梢詫W(xué)術(shù)交流為目的復(fù)制、贈(zèng)送和交換學(xué)位論文。 （ 4）學(xué)?？稍试S學(xué)位論文被查閱或借閱。 （ 5）學(xué)?？梢怨紝W(xué)位論文的全部或部分內(nèi)容（保密學(xué)位論文在解密后遵守此規(guī)定）。 除非另有科研合同和其他法律文 書的制約，本論文的科研成果屬于成都信息工程學(xué)院。 特此聲明！ 作者簽名： 2021 年 06 月 日