CN108366074A - 一种网络数据包防劫持方法及装置 - Google Patents

Abstract

本发明公开了一种网络数据包防劫持方法及装置，该方法包括以下步骤：捕获应用层中的数据包操作函数；判断数据包操作类型；如果是预定的数据包操作类型；获取数据包操作中的数据，发送给NDIS(Network Intrusion Detection System)层驱动，并转发给底层硬件。通过本发明的方案，大大提高了效率，有效降低成成本，并且操作系统的工作效率也大幅提升。

Description

一种网络数据包防劫持方法及装置

技术领域

本发明涉及计算机技术领域，具体涉及一种网络数据包防劫持方法及装置。

背景技术

现阶段，应用程序在进行网络通信的过程中，极易发生网络劫持事件，有木马与病毒一类的非法网络劫持，也有某些流氓软件披着合法外衣窃取用户私密数据的情况，这类手段都会造成用户私密数据泄漏。通常防御本机网络劫持的方法主要有以下几种：

1)杀毒软件查杀木马与病毒；

2)利用流量监控软件对数据包进行抓包分析；

3)网络重定向分析。

重定向(Redirect)就是通过各种方法将各种网络请求重新定个方向转到其它位置(如：网页重定向、域名的重定向、路由选择的变化也是对数据报文经由路径的一种重定向)。

现有技术中的网络重定向技术包括如下步骤：

步骤一，应用程序发送网络数据包；

步骤二，拦截应用程序发送的数据包；

步骤三，对来接的数据包进行重定向，发送给本机代理进程；

步骤四，对数据包进行分析后，判断是否外发该数据，或者丢弃该数据。

因此，该网络重定下技术存在以下缺点：

该技术在拦截到数据包后，会通过代理进程继续向下发送数据包，这种情况，木马和病毒等恶意程序对发下来的数据包依然可以劫持，这并没有真正的解决网络劫持。

因此，迫切需要一种保证数据安全，防止数据被劫持的数据保护方法。

发明内容

为解决上述技术问题，本发明提供了一种网络数据包防劫持方法，该方法包括以下步骤：

1)捕获应用层中的数据包操作函数；

2)判断数据包操作类型；

3)如果是预定的数据包操作类型，则跳转到步骤4)，否则跳转到步骤5)；

4)获取数据包操作中的数据，发送给NDIS(Network Intrusion DetectionSystem)层驱动，并转发给底层硬件；

5)结束。

根据本发明的方法，有选的，所述步骤1)中通过Windows系统中的钩子函数(HOOK)捕获系统API函数来实现捕获应用层中的数据包操作函数。

根据本发明的方法，有选的，所述步骤3)中的数据包操作类型包括：建立TCP连接操作、数据包发送操作，UDP数据发送操作。

根据本发明的方法，有选的，所述步骤4)中，获取数据包操作中的数据后，将数据封装成NDIS数据包格式，通过进程间通信(IPC,Inter-Process Communication)发送给NDIS层。

根据本发明的方法，有选的，所述步骤4)中的底层硬件包括网卡。

为解决上述技术问题，本发明提供了一种网络数据包防劫持装置，该装置包括：

捕获模块，捕获应用层中的数据包操作函数；

判断模块，判断数据包操作类型；

匹配模块，判断获取的数据包操作类型能否匹配预定的数据包操作类型；

数据转发模块，获取数据包操作中的数据，发送给NDIS(Network IntrusionDetection System)层驱动，并转发给底层硬件。

根据本发明的装置，优选的，所述捕获模块通过Windows系统中的钩子函数(HOOK)捕获系统API函数来实现捕获应用层中的数据包操作函数。

根据本发明的装置，优选的，所述数据包操作类型包括：建立TCP连接操作、数据包发送操作，UDP数据发送操作。

根据本发明的装置，优选的，数据转发模块获取数据包操作中的数据后，将数据封装成NDIS数据包格式，通过进程间通信(IPC,Inter-Process Communication)发送给NDIS层。

为解决上述技术问题，本发明提供了一种计算机可读存储介质，存储有计算机程序指令，通过执行所述计算机程序指令，实现如上述之一的方法。

通过本发明提供的技术方案，相对于其它防劫持方式，本发明，大大提高了效率，有效降低成成本，并且操作系统的工作效率也大幅提升。

附图说明

此处所说明的附图是用来提供对本发明的进一步理解，构成本申请的一部分，但并不构成对本发明的不当限定，在附图中：

图1是本发明的总体技术架构图；

图2是本发明的实施例的方法流程图；

图3是本发明的另一实施例技术架构图。

具体实施方式

下面将结合附图以及具体实施例来详细说明本发明，其中的示意性实施例以及说明仅用来解释本发明，但并不作为对本发明的不当限定。

OSI将计算机网络体系结构(architecture)划分为以下七层：

物理层：将数据转换为可通过物理介质传送的电子信号；

数据链路层：决定访问网络介质的方式；在此层将数据分帧，并处理流控制。本层指定拓扑结构并提供硬件寻址；

网络层：使用权数据路由经过大型网络；

传输层：提供终端到终端的可靠连接；

会话层：允许用户使用简单易记的名称建立连接；

表示层：协商数据交换格式；

应用层：用户的应用程序和网络之间的接口。

如果按照计算机网络体系结构五的划分，则包括：物理层、数据链路层、网络层、传输层和应用层(将七层模型的会话层、表示层并入应用层)。

本发明的网络层与OSI模型的对应结构如图1所示。

现阶段数据包劫持主要发生在传输层和网络层，包括杀毒软件和木马等，本系统利用应用层在劫持敏感区上层，NDIS层驱动在劫持敏感区下层的特点，强制使数据包越过劫持敏感区直达NDIS层驱动，从而极大的降低了数据包劫持的机率，本系统核心功能主要集中在应用层和NDIS层。

应用程序位于应用层，当应用程序收发数据包时，可通过HOOK钩子函数，拦截系统API函数NtDeviceIoControlFile的数据包操作。在应用层截获数据包的主流方式是SPI技术，即应用层防火墙通用使用的方式，但这种技术会很容易被绕过，失去防劫持的作用，而本发明使用的截获方式，在SPI的下层，是应用层发包必经之路，很难被绕过。

NtDeviceIoControlFile为Windows的系统API函数，它的功能是直接发送控制代码到指定的设备驱动程序，使相应的设备以执行相应的操作的函数，实现如数据包的发送操作。通过HOOK该API函数，可以截获所有应用层的发包方式。通用的数据截获方式有两种，一种是SPI的方式，另一种是HOOK WINDOWS网络发包API，如Send函数等，但这两种方式都有被绕过的风险。

NtDeviceIoControlFile函数定义如下

NTSTATUS NtDeviceIoControlFile(

HANDLE FileHandle,

HANDLE Event,

PIO_APC_ROUTINE ApcRoutine,

PVOID ApcContext,

PIO_STATUS_BLOCK IoStatusBlock,

ULONG IoControlCode,

PVOID InputBuffer,

ULONG InputBufferLength,

PVOID OutputBuffer,

ULONG OutputBufferLength

)；

其中，FileHandle，表示文件句柄，也包括设备。

Event：指定一EVENT，当IO完成就会通知。

ApcRoutine：APC回调，IO完成就会执行此APC。

ApcContext：APC回调的参数。

IO_STATUS_BLOCK：用于指示IO完成状态，通常是指完成了多少。

重点需要说明的是，IoControlCode包括三种取值：IO_AFD_CONNECT、IO_AFD_SEND和IO_AFD_SENDTO，这三个控制码分别代表：TCP建立连接、数据发送和UDP数据发送，如果确定IoControlCode参数匹配以上三种控制码后，即可以确定应用程序在进行数据包发送操作。此时，对需要发送的数据进行数据包封装打包(NDIS格式数据包)，并利用LPC进程间通信(IPC,Inter-Process Communication)，将数据封装后的数据包发送到NDIS层的驱动。

NDIS是Network Driver Interface Specification，即网络驱动接口规范。NDIS的主要目的就是为NIC(网络接口卡，Network Interface Cards)制定出标准的API接口。MAC(介质访问控制，Media Access Controller)设备驱动封装了所有的NIC硬件实现，这样一来所有的使用相同介质的NIC就可以通过通用的编程接口被访问。NDIS同时也提供一个函数库(有时也称作wrapper)，这个库中的函数可以被MAC驱动调用，也可以被高层的协议(例如TCP/IP)驱动调用。这些wrapper函数使得MAC驱动和协议驱动的开发变得更加容易。

本发明的NDIS驱动位于数据链路层。NDIS层是网络层中最接近物理网卡的过滤层驱动，几乎所有的劫持模块都在它的上层，所以，跳转到这一层可以直接跳过劫持模块。

NDIS驱动在收到应用层发来的数据包后，利用NdisSend函数向低层网卡转发数据包。

结合图2，描述系统执行流程：

(一)应用程序发包(向外联网，发送数据)。

(二)NtDeviceIoControlFile函数捕获到发包操作。

(三)判断IoControlCode参数中的值是否为发包操作：

IO_AFD_CONNECT、IO_AFD_SEND和IO_AFD_SENDTO。

(四)如果不是，则放过不处理。

(五)如果是，提取数据包中的数据，并封装打包(封装中NDIS数据包格式)。

(六)利用LPC通信技术，调用LpcSendPort函数将打包好的数据向下发送给NDIS层驱动。

(七)NDIS驱动将收到的数据包利用NdisSend函数向下转发给网卡。

本发明还公开了另一实施例，现有技术中，由于位于应用层的杀毒软件会强制重定向所有网络外发数据包，从而导致原来发往虚拟网卡的数据包被重定向，导致VPN功能失效。通过本发明增加了防劫持模块后，会直接跳过了杀毒软件的重定向模块，保证了VPN的有效运行。

结合附图3，本发明的实施方案包括：位于应用层的第一数据包防劫持模块和位于数据链路层的数据防劫持模块，共同组成完整的数据防劫持模块。具体包括以下流程：

(一)位于应用层的应用程序发送数据包；

(二)位于应用层的第一数据包防劫持模块先于杀毒软件拦截到数据包；

(三)第一数据包防劫持模块将数据包直接越过杀毒软件向下发送给下层的防劫持模块；

(四)位于数据链路层的第二数据包防劫持模块收到数据包后，直接发给虚拟网卡。

通过本发明的实施方案，相对于其它防劫持方式，本发明，大大提高了效率，有效降低成成本，并且操作系统的工作效率也大幅提升。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、系统、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式发送机或其他可编程数据发送终端设备的发送器以产生一个机器，使得通过计算机或其他可编程数据发送终端设备的发送器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的系统。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据发送终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令系统的制造品，该指令系统实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据发送终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的发送，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种网络数据包防劫持方法及装置，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种网络数据包防劫持方法，其特征在于，该方法包括以下步骤：

1)捕获应用层中的数据包操作函数；

2)判断数据包操作类型；

3)如果是预定的数据包操作类型，则跳转到步骤4)，否则跳转到步骤5)；

4)获取数据包操作中的数据，直接发送给NDIS(Network Intrusion DetectionSystem)层驱动，并转发给底层硬件；

5)结束。

2.如权利要求1所述的方法，其特征在于，所述步骤1)中通过Windows系统中的钩子函数(HOOK)捕获系统API函数来实现捕获应用层中的数据包操作函数。

3.如权利要求1所述的方法，其特征在于，所述步骤3)中的数据包操作类型包括：建立TCP连接操作、数据包发送操作，UDP数据发送操作。

4.如权利要求1所述的方法，其特征在于，所述步骤4)中，获取数据包操作中的数据后，将数据封装成NIDS数据包格式，通过进程间通信(IPC,Inter-Process Communication)发送给NIDS层驱动。

5.如权利要求4所述的方法，其特征在于，所述步骤4)中的底层硬件包括网卡。

6.一种网络数据包防劫持装置，其特征在于，该装置包括：

捕获模块，捕获应用层中的数据包操作函数；

判断模块，判断数据包操作类型；

匹配模块，判断获取的数据包操作类型能否匹配预定的数据包操作类型；

数据转发模块，获取数据包操作中的数据，直接发送给NDIS(Network IntrusionDetection System)层驱动，并转发给底层硬件。

7.如权利要求6所述的装置，其特征在于，所述捕获模块通过Windows系统中的钩子函数(HOOK)捕获系统API函数来实现捕获应用层中的数据包操作函数。

8.如权利要求6所述的装置，其特征在于，所述数据包操作类型包括：建立TCP连接操作、数据包发送操作，UDP数据发送操作。

9.如权利要求6所述的装置，其特征在于，数据转发模块获取数据包操作中的数据后，将数据封装成NIDS数据包格式，通过进程间通信(IPC,Inter-Process Communication)发送给NIDS层驱动。

10.一种计算机可读存储介质，存储有计算机程序指令，通过执行所述计算机程序指令，实现如权利要求1-5之一所述的方法。