是否可以在WFP（Windows过滤平台）中实现用户模式标注？

Question

是否可以在WFP（Windows过滤平台）中实现用户模式标注？如果是这样，请分享一些相关链接或示例代码。

Answer 1

从MSDN：

用户模式与内核模式

如果所需的过滤可以通过使用内置于Windows过滤平台的标准筛选 功能来完成， 独立软件供应商（ISV）应该编写用户模式管理 应用程序来配置过滤器引擎，而不是编写 内核模式标注驱动程序。当您必须以标准的内置过滤功能处理网络数据的方式处理网络数据时，应该只写入内核模式标注驱动程序 。有关如何编写用户模式Windows过滤平台 管理应用程序的信息，请参阅Microsoft Windows SDK中的Windows过滤平台 文档。有关 的信息，请参阅Microsoft Windows SDK中的文档。

Answer 2

不，现在是不可能的。虽然大部分的Windows过滤平台（WFP）API的是在用户模式下可用，当您尝试注册一个标注，你会绊到一个版本的API调用：

FwpsCalloutRegister3(
    _Inout_ void* deviceObject, 
    _In_ const FWPS_CALLOUT3* callout, 
    _Out_opt_ UINT32* calloutId 
    ); 

这是注册您的分门别类的唯一途径/通知WFP的功能，如果你不是内核设备驱动程序，那么你不会有deviceObject传递给这个API调用。