Доброго времени суток. Из исходников msdn собрал свой firewall по технологии LSP(Layered Service Provider). Тестил на win 7 (x32,x64) - всё работает прекрасно. Даже системные процессы захватывает, такие как lsass.exe, [System]. Проблемы начались когда тесты перешли на win 10. Библиотека перестала работать с службами windows, только подхватывается обычными процессами(браузеры, игры).
После повторного, долгого и тщательного изучения документации выяснил следующее:

On Windows Vista and later, an LSP can be classified based on how it interacts with Windows Sockets calls and data. An LSP category is an identifiable group of behaviors on a subset of Winsock SPI functions. For example, an HTTP content filter would be categorized as a data inspector (the LSP_INSPECTOR category).
An LSP may belong to more than one category. For example, a firewall/security LSP could belong to both the inspector (LSP_INSPECTOR) and firewall (LSP_FIREWALL) categories.

If an LSP does not have a category set, it is considered to be in the All Other category. This LSP category will not be loaded in services or system processes (for example, lsass, winlogon, and many svchost processes).

Источник: https://docs.microsoft.com/en-us/wi...ng-layered-service-providers-and-applications

Чтобы заставить библиотеку работать с системными службами(services), я добавил следующий код в инсталляторе(после вызова WSCInstallProviderAndChains):

Я пробовал значение lspCategory менять на LSP_SYSTEM, LSP_FIREWALL... на 0xFFFFFFFF. Пробовал просто оставить NULL. Но, увы мои попытки не увенчались успехом. Прошу помощи у тех, кто может разбирался в этом и знает в чем проблема?

| Сообщение посчитали полезным:

А я бы написал в поддержку майкрософт они должны помогать.

| Сообщение посчитали полезным:

SDK-2 Спасибо, попробую как вариант, может еще кто-то что-то подскажет?

| Сообщение посчитали полезным:

Может быть проблема в подписи dll: винда не хочет подозрительные библиотеки подгружать в некоторые системные процессы?

| Сообщение посчитали полезным:

Говоря иначе - тебе не дадут писать свой фаер на 10.. Только гуишки..
И вот ответ: "If an LSP does not have a category set, it is considered to be in the All Other category. This LSP category will not be loaded in services or system processes (for example, lsass, winlogon, and many svchost processes)"
Как прогеру - не перевожу ))

| Сообщение посчитали полезным:

sefkrd пишет:
И вот ответ: "If an LSP does not have a category set, it is considered to be in the All Other category. This LSP category will not be loaded in services or system processes (for example, lsass, winlogon, and many svchost processes)"
Возможно предположу глупость, но если дублировать токен, к примеру lsass и имперсонировать или в PEB замаскировать процесс под winlogon (LdrEnumerateLoadedModules) к примеру или в комплексе?
В зависимости от того, как эту категорию винда проверяет.

| Сообщение посчитали полезным:

Спасибо большое всем кто подкинул варианты, я проверю и отпишусь;)

| Сообщение посчитали полезным:

// On Windows Vista and later there is a new LSP install function
// (WSCInstallProviderAndChains) that performs all necessary installation
// steps in a single call (instead of multiple WSCInstallProvider calls).
// This function dynamically loads the function and invokes it to install
// the LSP. The function either expects a NULL list of WSAPROTOCOL_INFOW
// structures in which case it installs the LSP over each unique address
// family, socket type, and protocol base provider on the system. Otherwise,
// if the pdwCatalogIdArray specifies exact providers, this function builds
// a list of those provider structures in which case the install API installs
// the LSP over each instance of the address family, socket type and protocol
// specified in the array.

| Сообщение посчитали полезным:

Storage, неа.

| Сообщение посчитали полезным:

Тебе там черным по белому написали что это depricated с вин8 и используй WFP. Что за дурость и упорство достойное барана? Никакие твои длл никуда не подгрузятся ни в какие системные процессы - это by design.

| Сообщение посчитали полезным: