Многоуровневый поставщик услуг - Layered Service Provider

Многоуровневый поставщик услуг (LSP) является устаревшей функцией Майкрософт Виндоус Winsock 2 Интерфейс поставщика услуг (SPI). Многоуровневый поставщик услуг - это DLL который использует Winsock API для попытки вставить себя в TCP / IP стек протоколов. Попав в стек, многоуровневый поставщик услуг может перехватывать и изменять входящий и исходящий Интернет-трафик. Это позволяет обрабатывать все TCP / IP трафик между Интернетом и приложениями, обращающимися к Интернету (такими как веб-браузер, почтовый клиент и т. д.). Например, его могут использовать вредоносное ПО для перенаправления веб-браузеров на мошеннические веб-сайты или для блокировки доступа к таким сайтам, как Центр обновления Windows. Кроме того, программа компьютерной безопасности может сканировать сетевой трафик на наличие вирусов или других угроз. Winsock Интерфейс поставщика услуг (SPI) API предоставляет механизм для наложения поставщиков друг на друга. LSP Winsock доступны для ряда полезных целей, включая родительский контроль и фильтрацию веб-содержимого. Веб-фильтр родительского контроля в Windows Vista - это LSP. Порядок размещения всех поставщиков сохраняется в каталоге Winsock.

Подробности

В отличие от известных Winsock 2, который описан в многочисленных книгах, документации и примерах, Winsock 2 SPI относительно не изучен. Winsock 2 SPI реализуется поставщиками услуг сетевого транспорта и поставщиками услуг разрешения пространств имен. Winsock 2 SPI можно использовать для расширения существующего поставщика транспортных услуг за счет реализации многоуровневого поставщика услуг. Например, Качество обслуживания (QoS) в Windows 98 и Windows 2000 реализовано как LSP через TCP / IP стек протоколов. Другой вариант использования LSP - это разработка специализированного программного обеспечения для фильтрации URL-адресов, чтобы предотвратить доступ веб-браузеров к определенным сайтам, независимо от браузера, установленного на рабочем столе. Winsock 2 SPI позволяет разработчикам программного обеспечения создавать два разных типа поставщиков услуг - транспорт и пространство имен. Поставщики транспортных услуг (обычно называемые стеками протоколов) - это службы, которые предоставляют функции, которые устанавливают соединения, передают данные, осуществляют управление потоком, контроль ошибок и т. Д. Провайдеры пространства имен - это службы, которые связывают атрибуты адресации сетевого протокола с одним или несколькими понятными для человека именами и обеспечивают независимое от протокола разрешение имен. SPI также позволяет разрабатывать два типа поставщиков транспортных услуг - базовых и многоуровневых поставщиков услуг.

Базовые поставщики услуг реализуют фактические детали транспортного протокола: настройку соединений, передачу данных, а также контроль потока и контроль ошибок. Поставщики многоуровневых услуг реализуют только настраиваемые функции связи более высокого уровня и полагаются на существующего базового поставщика для фактического обмена данными с удаленной конечной точкой.

LSP Winsock 2 реализованы как Windows DLL с одной экспортированной записью функция, WSPStartup. Все остальные функции транспортного SPI доступны для ws2_32.dll или провайдера верхнего уровня через LSP. таблица отправки. LSP и базовые поставщики связаны друг с другом в цепочку протоколов. LSP DLL необходимо зарегистрировать с помощью специального регистранта LSP, который инструктирует Winsock 2, порядок загрузки LSP (может быть установлено несколько LSP) и протоколы для перехвата.

LSP работают путем перехвата Winsock 2 команды до их обработки ws2_32.dll; поэтому они могут изменять команды, отбрасывать команду или просто регистрировать данные, что делает их полезным инструментом для вредоносных программ, сетевых фильтров, сетевых перехватчиков и снифферов на основе потоков. Сниффинг сетевого трафика через LSP иногда может быть проблематичным, поскольку поставщики антивирусных программ обычно помечают такую ​​активность как вредоносную - сеть анализатор пакетов поэтому является лучшей альтернативой для перехвата сетевого трафика.

Особенность LSP и Winsock прокси-сниффинг заключается в том, что они позволяют перехватить трафик из одного приложения, а также позволяют localhost (127.0.0.1) для прослушивания в Windows.[1]

Существует два типа LSP: IFS и LSP без IFS. В настоящее время большинство LSP на рынке не являются IFS. Разница между двумя LSP заключается в том, что LSP без IFS изменяют разъем дескриптор недействительного дескриптора Windows IFS, поэтому LSP должен реализовывать все Winsock 2 метода. С другой стороны, LSP IFS сохраняют дескриптор сокета, что позволяет LSP реализовывать только те функции, которые он хочет перехватить. IFS LSP оказывают гораздо меньшее влияние на производительность, чем LPS без IFS, но они ограничены тем фактом, что они не могут проверять или изменять данные на пути приема.

Устаревание и обход LSP

LSP устарели с Windows Server 2012.[2] Системы, включающие LSP, не проходят проверку на наличие логотипа Windows.[3] Приложения в стиле "метро" в Windows 8, использующие сеть, автоматически обходят все LSP. В Платформа фильтрации Windows обеспечивает аналогичную функциональность и совместим как с приложениями «метро» в стиле Windows 8, так и с обычными настольными приложениями.

Проблемы с коррупцией

Основная проблема с LSP заключается в том, что любые ошибки в LSP могут вызвать сбой приложений. Например, LSP, который возвращает неправильное количество байтов, отправленных через интерфейс, может привести к тому, что приложения войдут в бесконечный цикл, ожидая, пока сетевой стек не укажет, что данные были отправлены.

Другая основная распространенная проблема с LSP заключалась в том, что, если бы они были удалены или отменили регистрацию неправильно или если LSP был ошибочным, это привело бы к повреждению каталога Winsock в реестре, и весь стек TCP / IP сломался бы, и компьютер мог больше нет доступа к сети.

Технология LSP часто используется шпионское ПО и рекламное ПО программы для перехвата сообщений через Интернет. Например, вредоносное ПО может вставлять себя в качестве LSP в сетевой стек и перенаправлять весь трафик пользователя на неавторизованный внешний сайт, где он может быть добыт данными, чтобы найти интересы пользователя, чтобы бомбардировать его / ее целевой рекламой, а также спам электронное письмо. Если вредоносный LSP не удален правильно, старые версии Windows могут остаться без рабочего сетевого подключения.

Такая потенциальная потеря всех сетевых подключений предотвращается в Windows XP с пакетом обновления 2, Windows Server 2003 с пакетом обновления 1 и во всех более поздних операционных системах Windows, в которых Winsock имеет возможность самовосстановления после того, как пользователь удалит такой LSP.[4]

Установленные LSP можно просмотреть с помощью XP / Vista. Защитник Windows с Программный обозреватель или с помощью сторонних утилит.

Рекомендации

  1. ^ "Proxocket - Winsock Proxy Sniffer", Блог о сетевой безопасности NETRESEC, 2011 г.
  2. ^ «Функции, удаленные или устаревшие в Windows Server 2012».
  3. ^ «Требования к Device.DevFund».
  4. ^ Как определить и восстановить повреждение Winsock2

внешняя ссылка