SetTcpEntry6 - 一个针对IPv6的自定义SetTcpEntry实现

梦幻的彼岸

翻译
原文地址：https://www.x86matthew.com/view_post?id=settcpentry6
功能：一个针对IPv6的自定义SetTcpEntry实现



Windows有一个名为SetTcpEntry的函数，可以用来终止TCP表中的一个活动连接。这个函数只支持IPv4连接，目前还没有针对IPv6的对应函数。甚至微软自己的TCPView工具也不允许关闭IPv6连接。

我对原始的SetTcpEntry函数进行了逆向工程，并成功创建了一个自定义的SetTcpEntry6函数。这段代码可以在所有带有 "下一代TCP/IP栈"（Vista以上）的Windows版本上使用。Windows XP从一开始就不完全支持IPv6，所以这些函数在所有现实情况下都能按预期工作。

SetTcpEntry函数调用NsiSetAllParameters时使用了一个未记录的数据结构。我对这个结构进行了逆向工程，并将其标记为KillTcpSocketData_V4。我逆向工程的SetTcpEntry（IPv4）函数如下：

1. BYTE bGlobal_NPI_MS_TCP_MODULEID[] = { 0x18, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x03, 0x4A, 0x00, 0xEB, 0x1A, 0x9B, 0xD4, 0x11, 0x91, 0x23, 0x00, 0x50, 0x04, 0x77, 0x59, 0xBC };
   
2. 
   
3. struct KillTcpSocketData_V4
   
4. {
   
5.         WORD wLocalAddressFamily;
   
6.         WORD wLocalPort;
   
7.         DWORD dwLocalAddr;
   
8.         BYTE bReserved1[20];
   
9. 
   
10.         WORD wRemoteAddressFamily;
    
11.         WORD wRemotePort;
    
12.         DWORD dwRemoteAddr;
    
13.         BYTE bReserved2[20];
    
14. };
    
15. 
    
16. DWORD KillTcpSocket_V4(MIB_TCPROW_OWNER_PID *pTcpRow)
    
17. {
    
18.         HMODULE hNsiModule = NULL;
    
19.         DWORD (WINAPI *pNsiSetAllParameters)(DWORD dwStatic, DWORD dwActionCode, LPVOID NPI_MS_MODULEID, DWORD dwIoMainCode, LPVOID lpNetInfoBuffer, DWORD SizeofNetInfoBuffer, LPVOID lpMetricBuffer, DWORD SizeofMetricBuffer) = NULL;
    
20.         KillTcpSocketData_V4 KillTcpSocketData;
    
21.         MIB_TCPROW_OWNER_PID SetTcpEntryTcpRow;
    
22. 
    
23.         // load nsi.dll module (vista onwards)
    
24.         hNsiModule = LoadLibrary("nsi.dll");
    
25.         if(hNsiModule != NULL)
    
26.         {
    
27.                 // find NsiSetAllParameters function
    
28.                 pNsiSetAllParameters = (unsigned long (__stdcall *)(unsigned long,unsigned long,void *,unsigned long,void *,unsigned long,void *,unsigned long))GetProcAddress(hNsiModule, "NsiSetAllParameters");
    
29.                 if(pNsiSetAllParameters == NULL)
    
30.                 {
    
31.                         return 1;
    
32.                 }
    
33.         }
    
34. 
    
35.         if(pNsiSetAllParameters == NULL)
    
36.         {
    
37.                 // NsiSetAllParameters not found - call original SetTcpEntry function
    
38.                 memcpy((void*)&SetTcpEntryTcpRow, (void*)pTcpRow, sizeof(SetTcpEntryTcpRow));
    
39.                 SetTcpEntryTcpRow.dwState = MIB_TCP_STATE_DELETE_TCB;
    
40.                 if(SetTcpEntry(&SetTcpEntryTcpRow) != 0)
    
41.                 {
    
42.                         return 1;
    
43.                 }
    
44.         }
    
45.         else
    
46.         {
    
47.                 // set socket data
    
48.                 memset((void*)&KillTcpSocketData, 0, sizeof(KillTcpSocketData));
    
49.                 KillTcpSocketData.wLocalAddressFamily = AF_INET;
    
50.                 KillTcpSocketData.wLocalPort = (WORD)pTcpRow->dwLocalPort;
    
51.                 KillTcpSocketData.dwLocalAddr = pTcpRow->dwLocalAddr;
    
52.                 KillTcpSocketData.wRemoteAddressFamily = AF_INET;
    
53.                 KillTcpSocketData.wRemotePort = (WORD)pTcpRow->dwRemotePort;
    
54.                 KillTcpSocketData.dwRemoteAddr = pTcpRow->dwRemoteAddr;
    
55. 
    
56.                 // kill socket
    
57.                 if(pNsiSetAllParameters(1, 2, (LPVOID)bGlobal_NPI_MS_TCP_MODULEID, 16, (LPVOID)&KillTcpSocketData, sizeof(KillTcpSocketData), 0, 0) != 0)
    
58.                 {
    
59.                         return 1;
    
60.                 }
    
61.         }
    
62. 
    
63.         return 0;
    
64. }

复制代码

上面的函数实际上并不是必需的，因为现有的 SetTcpEntry 函数适用于所有版本的 Windows 上的 IPv4 sockets ，但它可以作为创建 IPv6 实现的起点。

在花了一些时间看了nsi.dll中其他与IPv6有关的函数后，我想出了以下代码:

1. BYTE bGlobal_NPI_MS_TCP_MODULEID[] = { 0x18, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x03, 0x4A, 0x00, 0xEB, 0x1A, 0x9B, 0xD4, 0x11, 0x91, 0x23, 0x00, 0x50, 0x04, 0x77, 0x59, 0xBC };
   
2. 
   
3. struct KillTcpSocketData_V6
   
4. {
   
5.         WORD wLocalAddressFamily;
   
6.         WORD wLocalPort;
   
7.         BYTE bReserved1[4];
   
8.         BYTE bLocalAddr[16];
   
9.         DWORD dwLocalScopeID;
   
10. 
    
11.         WORD wRemoteAddressFamily;
    
12.         WORD wRemotePort;
    
13.         BYTE bReserved2[4];
    
14.         BYTE bRemoteAddr[16];
    
15.         DWORD dwRemoteScopeID;
    
16. };
    
17. 
    
18. DWORD KillTcpSocket_V6(MIB_TCP6ROW_OWNER_PID *pTcpRow)
    
19. {
    
20.         HMODULE hNsiModule = NULL;
    
21.         DWORD (WINAPI *pNsiSetAllParameters)(DWORD dwStatic, DWORD dwActionCode, LPVOID NPI_MS_MODULEID, DWORD dwIoMainCode, LPVOID lpNetInfoBuffer, DWORD SizeofNetInfoBuffer, LPVOID lpMetricBuffer, DWORD SizeofMetricBuffer) = NULL;
    
22.         KillTcpSocketData_V6 KillTcpSocketData;
    
23. 
    
24.         // load nsi.dll module (vista onwards)
    
25.         hNsiModule = LoadLibrary("nsi.dll");
    
26.         if(hNsiModule != NULL)
    
27.         {
    
28.                 // find NsiSetAllParameters function
    
29.                 pNsiSetAllParameters = (unsigned long (__stdcall *)(unsigned long,unsigned long,void *,unsigned long,void *,unsigned long,void *,unsigned long))GetProcAddress(hNsiModule, "NsiSetAllParameters");
    
30.                 if(pNsiSetAllParameters == NULL)
    
31.                 {
    
32.                         return 1;
    
33.                 }
    
34.         }
    
35. 
    
36.         if(pNsiSetAllParameters == NULL)
    
37.         {
    
38.                 // NsiSetAllParameters not found (win XP or earlier - ipv6 not supported)
    
39.                 return 1;
    
40.         }
    
41. 
    
42.         // set socket data
    
43.         memset((void*)&KillTcpSocketData, 0, sizeof(KillTcpSocketData));
    
44.         KillTcpSocketData.wLocalAddressFamily = AF_INET6;
    
45.         KillTcpSocketData.wLocalPort = (WORD)pTcpRow->dwLocalPort;
    
46.         memcpy((void*)KillTcpSocketData.bLocalAddr, (void*)pTcpRow->ucLocalAddr, sizeof(KillTcpSocketData.bLocalAddr));
    
47.         KillTcpSocketData.dwLocalScopeID = pTcpRow->dwLocalScopeId;
    
48.         KillTcpSocketData.wRemoteAddressFamily = AF_INET6;
    
49.         KillTcpSocketData.wRemotePort = (WORD)pTcpRow->dwRemotePort;
    
50.         memcpy((void*)KillTcpSocketData.bRemoteAddr, (void*)pTcpRow->ucRemoteAddr, sizeof(KillTcpSocketData.bRemoteAddr));
    
51.         KillTcpSocketData.dwRemoteScopeID = pTcpRow->dwRemoteScopeId;
    
52. 
    
53.         // kill socket
    
54.         if(pNsiSetAllParameters(1, 2, (LPVOID)bGlobal_NPI_MS_TCP_MODULEID, 16, (LPVOID)&KillTcpSocketData, sizeof(KillTcpSocketData), 0, 0) != 0)
    
55.         {
    
56.                 return 1;
    
57.         }
    
58. 
    
59.         return 0;
    
60. }

复制代码

我已经在从Vista到最新版本的Windows 10的所有版本上测试了我的KillTcpSocket_V6功能，结果是成功的。