c++ - 是否可以在 WFP（Windows 过滤平台）中实现用户模式标注？

Question

是否可以在 WFP（Windows 过滤平台）中实现用户模式标注？如果是这样，请分享一些相关链接或示例代码。

Answer 1

不，目前不可能。尽管大部分 Windows 过滤平台 (WFP) API 在用户模式下可用，但当您尝试注册标注时，您将遇到此 API 调用的一个版本：

FwpsCalloutRegister3(
   _Inout_ void* deviceObject,
   _In_ const FWPS_CALLOUT3* callout,
   _Out_opt_ UINT32* calloutId
   );

这是向 WFP 注册分类/通知函数的唯一方法，如果您不是内核设备驱动程序，那么您将无法deviceObject传递给此 API 调用。

Answer 2

来自MSDN：

用户模式与内核模式

如果可以通过使用内置于 Windows 筛选平台的标准筛选功能来完成所需的筛选，则独立软件供应商 (ISV) 应编写用户模式管理应用程序来配置筛选引擎，而不是编写内核模式标注驱动程序。只有当您必须以标准内置过滤功能无法处理的方式处理网络数据时，才应编写内核模式标注驱动程序。有关如何编写用户模式 ​​Windows 过滤平台管理应用程序的信息，请参阅 Microsoft Windows SDK 中的 Windows 过滤平台文档。