标题: Windows网络数据流跟踪技巧(2)

https://scz.617.cn/windows/200504221327.txt

这次说说跟踪IP报文处理流程。假设在SoftICE中跟踪，为了使stack命令的输出更有
可读性，一般加载如下符号表:

ntoskrnl.nms
tcpip.nms

下例表示源IP为192.168.7.250、目标IP为192.168.7.151时命中:

:bpx tcpip!IPRcvPacket if *(*(esp+8)+c)==FA07A8C0&&*(*(esp+8)+10)==9707A8C0

最有意义的事实在于tcpip!IPRcvPacket()是Windows系统真正开始处理IP报文的地方，
因此在tcpip!IPRcvPacket()入口处修改了IP报文，将影响所有上层处理。