[QUOTE]原本由 liger 发表
[B]这个当然是可以改变包的，包括加密，过滤，流量分配/转移都是
可以的。在这个vpacket里，可以决定所有包的命运的，和ndis的
别的层一样，都是一个干预/监测/伪装网络包的好地方 [/B][/QUOTE]
Vpacket得到的是包的拷贝而已。捕获和截取是不同的概念。VPACKET只能捕获，而不能截取。因为它和MSTCP在同一层，NDIS把数据报发往MSTCP协议的同时，也发往VPACKET注册的协议。

那么如何对数据包实现截取呢？

NT 4.0看DDK IMSAMP 例子，Win2000下看DDK Passthru例子。
这两个例子都是在NDIS中插入层，截取Packet的。

TO BLUE：
有没有WIN98下面的？

98下用vxd来实现。 Hook_device_service把ndissend 等函数hook了就可以了

win98下也有，不过机理与NT不太一样。NT是插入一层，而win98的NDIS是3.0，故它的InterMediate层不健全，只能使用Hook函数，DDK下好像没有现成的例子，你可参看www.psausa.com，他们做了For Win98的例子。

也有for win98，It isn't microsoft DDK's sample but Pcausa.com's sample. 而且他们做得较认真，下面是他们自己吹的：
 NDIS Pseudo-Intermediate (PIM) Driver Framework For Windows 9X
PCAUSA developed the NDIS Pseudo-Intermediate (PIM) driver technology for Windows 9X and Windows Millennium to solve some of the shortcomings associated with attempting to use NDIS Intermediate (IM) drivers on those platforms.
  The PCAUSA NDIS PIM driver technology achieves the following goals:
  1.支持所有的 Windows 9X 版本 - From the original Windows 95 "Gold" to Windows 98 SE.
  2.支持Windows Me - Starting with new version V2.01.02.09.
  3.易于安装 - Can be installed and removed as simply as an ordinary Win32 application.
  4.没有虚拟适配器的混乱 - No virtual adapters are exposed, and binding is under the control of a companion NDIS PIM Win32 application.
  5.NDIS PIM 驱动为VxD - Allowing full access to NDIS and Windows 9X VxD services.
  6.支持拨号连接的过滤 - Does not rely on proprietary or undocumented information or reverse engineering.

我同意iori的观点，因为我在监听过程中改变IP头部信息，但对上层协议并没有影响，说明它只是得到了一份拷贝而已。特别想请教asm386大虾，如何Hook掉NdisSend何NdisTransdata函数，用来Hook的函数有该如何写，最好能有源代码实例。

如何HOOK NDISSEND？
HOOK_DEVICE_SERVICE(__NdisSend,myNdisSend,aThunk)
这样写吗？