|
WMIACPI.SYS 3 k7 U' {1 n8 ]
1. WMI Concept' z( C2 W* ^( t9 d$ |
~: m4 H; l1 Y) D5 [2 [5 wWMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现,WMI希望为系统管理以及分布式数据描述提供一种模型,并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。3 g. r% o' x& j- v! g/ q, G
" M0 U4 Q7 W$ I
# j7 j& S& i4 g2 A, N" Q7 J1 _2. WMIACPI.SYS
5 G* C4 Z7 H/ k4 d5 b+ t" \" E! S
Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.,ACPI包含丰富的系统信息,OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取,如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi,bini已经给出了非常详细的讲解,有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的:
( A5 v+ G% _ Y5 d6 aA.Acpi.sys
, U6 e$ |: B! n H+ KB.Wmiacpi.sys3 d" o' u, T* z: K, t3 N
A).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码,所以ACPI asl code真正的执行是由acpi.sys触发的,而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID,并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver,battery driver,lid driver,fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。
! n( h, w& n6 R7 C$ [B).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device,OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的,为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢?要搞明白这一点我们来研究一下WMI的工作原理了,下图1展示了WMI Architecture: |7 P8 w# N9 R6 }. A
! N0 U: p$ ?' J
* q& R/ e7 Z+ P2 S
& u2 d* {! p/ u' {4 h5 G8 B- x7 Z当user使用API访问WMI信息时,WMI CORE会查看repository中已知的scheme定义,然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver,它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中,consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme,如果驱动程序MOF scheme 部分正确无误,那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行,我们还需要给出与ACPI asl code对应的MOF scheme,并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中,后续consumer访问时WMI CORE就会检索到scheme信息,然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code,最终执行动作还是会由acpi.sys发动。driver是层次结构的,acpi.sys是wmiacpi.sys的lower driver,wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys,acpi.sys再返回具体信息然后逐级回送。/ ^* s; d8 q$ h, I! G( `
8 m7 B6 x/ w( l, [% X3. Under the hood: f" p+ p; t5 r3 m% g L8 V7 O
' o. ]9 k' O5 U6 r; B前面都是原理的介绍,讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做,随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode,build之后会生成一只acpimof.dll,在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载,下面我们就使用该tool验证前面的说法,下图2演示了我们定制wmiacpi之后的状况:
. N9 a2 x. S3 U6 y$ j( N4 G- Q. E4 {+ `# r- s+ t
9 U# B+ U9 ]& G* ]+ i" \
% g5 g; X: x+ }2 D
图 2 4 T- S2 a* P+ p% ] A1 Q% C
图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧,祭出WinDbg,let’s go!首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。
+ A3 ~0 u2 |0 S) K+ V; O& x* W7 n$ o# k7 |
# _/ a6 I5 c( e, |3 }) r: C8 e6 X图3
7 B$ w$ A7 b9 ]7 l" u2 L8 p) C* b由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢?别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息,这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。+ Z1 e( ]8 Y* B( w7 g7 g/ b
0 a* z( `' @, P/ ^9 w" F( @ r5 T" _4 O' Q7 m* N% O" a7 G H
图4 ! q% m: h, T) ~0 |
前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol,下图5显示了acpi.sys的所有symbol:
$ T% [& s8 p9 r. X0 |9 S' T/ t2 [+ S. V. {3 D
6 n) O T) W9 S: L* [+ e# n
图5 8 N6 |: w8 |- N" @0 c& S" f
经过分析上述symbol我觉得下述函数很有作案嫌疑,所以将它们秘密监控J都给设上断点,被怀疑的对象如下图6所示:
8 `' z# x# m) \8 ?5 I3 c! g; p# R3 J+ s
: [/ C. W: _; @( Y
图6
$ B8 p6 ~% l J* ]如图所示:: c0 c4 a0 p `" F# {" f
' a. j7 _4 q D! z. s
wmiacpi!WmiAcpiSetWmiDataItem/ E" y0 s- o6 V
( h+ ~6 p1 Z! f* B2 hwmiacpi!WmiAcpiSetWmiDataBlock
! c/ W% c r1 f9 ]' ~, e$ _1 G0 j. G; \4 N
wmiacpi!WmiFireEvent$ Y1 h( F4 Q' B3 `
4 f* m7 V: s9 Q- [! Twmiacpi!WmiAcpiQueryWmiDataBlock# w+ {" y5 ~# h5 ?
9 y- @# p i' Y: L# E4 r! e% ^
wmiacpi!WmiAcpiSendAsyncDownStreamIrp
9 P3 v- D3 }0 g3 q; e* A
9 ]: L1 R7 \% q' x1 |: ^wmiacpi!WmiSystemControl
Q6 V6 _1 Q; i- b* k$ b8 b
- h3 X& W; B" E7 a, W) C1 p4 u) qwmiacpi!WmiAcpiSystemControlDispatch/ r" X' X' {5 R' O5 [
" S- |. [7 Q |$ Y
acpi!ACPIIoctlEvalControlMethod7 H I2 D, b2 C
% I- a4 z! N- v4 C# |/ m2 h1 D
acpi!ACPIIoctlAsyncEvalControlMethod
5 I2 m! F+ P, T4 v% m% }' Q
7 b8 q" l" i2 s% D3 [6 F1 iacpi!ACPIIoctlAsyncEvalControlMethodEx
1 B/ ?' t2 U) `, {
0 B6 L: P* |( ~; p. h- \acpi!ACPIIoctlEvalControlMethodEx
$ Q+ b% D" U; O* j) I* E
& N9 r: ^6 G& {acpi!ACPIButtonDeviceControl
5 q: C5 \$ d# c9 A8 [. \$ ?
8 F5 U9 K1 [8 D. dacpi!ACPIEcInternalControl
9 g \8 u% M$ F8 u# y5 i2 ^1 v' W
+ |9 @# ^5 W' c! f1 t- c9 nacpi!AcpiEmbeddedControllerIrpDispatch! X J! a2 ? n" Y
/ V( N- d7 s$ i! ^acpi!ACPIIrpDispatchDeviceControl
; ~4 t2 d* Q- z4 D) N8 P. j6 k- K k
acpi!WmiSystemControl7 g0 d8 n) {7 I! A
# g; D# W8 ^& q1 U' S3 j
这些函数都被设置的断点,下面就我们读写一个class试试看了,图7证实了我之前的所说绝非空口无凭,我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手,当然后续还会有别的一些动作,但是上述行为就足以支撑我的论点了J。
( _3 [( t! ~# x1 D8 b3 B8 a B9 Z7 a/ p9 i+ Z
' x, A, y5 ]" x. D
: j1 ^$ |: u1 }) M4 S# J$ }7 i5 I% Y9 h! ?! _
图7
0 y& B- b& v7 b4 h" }& z 图8演示了我们发一个event的状况,图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。
- g; s- z2 h+ J7 @3 K7 C
& S% Q( {" b9 E ~7 o k9 R* W F4 l
s3 A; ^& c C图8
( W0 P Q# }! C* O* m9 Z) J以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了,再附上一幅我的debug环境J。) r& }1 e: H) L2 A% d! Y5 X3 B9 D9 R4 D5 A
7 |/ K% f. y0 N+ T- U
' T5 s6 e' X# d9 n; p5 k8 a/ K
! ~) W5 v2 C2 d: u图9 5 t* _9 |2 ]7 L% ?
That’s all!
M: H; E- g; I( [Peter
# M: a. ~( T5 I% a+ | S6 M( n" L a% q- n
[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|