[原创]WMIACPI.SYS

peterhu

WMIACPI.SYS

1. WMI Concept

$ G0 [' @1 `; w7 h3 HWMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。
' Y9 Q, U9 g% H$ j3 f* b$ L9 d' x
! w, r7 I" m# Q& k
# I) @: p! E, W5 y: Q- [( ?2. WMIACPI.SYS

Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：
" v: ]( q3 p4 c3 j  aA．Acpi.sys
8 e. r0 k; v5 t9 c! D# z& E9 NB．Wmiacpi.sys
& M  D3 V+ E3 {! g! bA).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。
B).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：
% d' h$ ^5 X' P3 I! D/ C2 k7 F

. ~' j, k/ S" ^/ s
当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。

* @7 V. X. C& j3. Under the hood

# ]+ o4 e/ R0 h, N4 k0 k前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：
' k1 }; [. R% H! @

7 Q5 A: u( I7 e0 F) ^2 M7 {

图 2

/ z  x3 X2 x* n5 x( L" S, E图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。

% o7 ^# `7 ]  s& g* ^7 t

图3

由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。

. o/ T/ v' v  Q; T

图4

4 t; ~$ _4 p' _前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：
9 {. Z" j' J/ E  b% ^  }* {6 [
  X+ G9 u8 e' ]6 o1 x$ K

' `% a/ v+ M" m+ @3 Z

图5

$ V; N% h, }" `1 |' \1 ?经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：
8 H1 @$ g* J% N) w9 \. g
6 s9 T+ V  K' h- |5 r) p+ A1 {

+ y, k3 s$ G2 n

图6

如图所示：
$ X0 {% l! W$ Q5 C6 I5 U
2 v, r( g2 t$ |: q2 a6 Lwmiacpi!WmiAcpiSetWmiDataItem
- w. B/ Q1 [7 G
; o  U0 w3 w, m, v9 o$ h6 E6 Ywmiacpi!WmiAcpiSetWmiDataBlock

wmiacpi!WmiFireEvent
% u, Z9 {, R0 i% Y
. U* T) C$ ~* ^; c! l0 Ewmiacpi!WmiAcpiQueryWmiDataBlock
2 B! k; Y* c  r3 ~3 @
wmiacpi!WmiAcpiSendAsyncDownStreamIrp

wmiacpi!WmiSystemControl

( k; Y4 m" Q, ewmiacpi!WmiAcpiSystemControlDispatch

( J" |1 C: m2 Z& O: Racpi!ACPIIoctlEvalControlMethod

7 p" Y  T( e# Iacpi!ACPIIoctlAsyncEvalControlMethod
. ]5 u4 ]) V* ]) o* }! B
acpi!ACPIIoctlAsyncEvalControlMethodEx

" u) y: Q4 n6 w+ ^% `acpi!ACPIIoctlEvalControlMethodEx
* d% C& c7 [: v7 w' Q1 _$ s- V
; Q& W& o' I' Y( ?. q, xacpi!ACPIButtonDeviceControl
7 y! \. s: M6 e8 R) k) i  D) P3 I
acpi!ACPIEcInternalControl

: a" C# j: e, @. q" K. r- ]. Racpi!AcpiEmbeddedControllerIrpDispatch

acpi!ACPIIrpDispatchDeviceControl
- J+ A% }' s/ O
acpi!WmiSystemControl

  m( b0 l1 t! [0 z& c  T这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。

) l  l8 C/ i- a
0 k) O9 F8 t$ {: A: ~: z- [
6 o# L& W, d' [; @( g

图7
# V1 D' F- {7 H* e

图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。
  e& B6 J/ t! H8 \$ D9 E5 A
3 C- G3 _  G" O. l: k, ~' ~

0 f% v3 u, d4 |' y- y) s2 p

图8

! K8 u/ ?7 }9 T1 s( v8 r9 E以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。
' g+ |6 b3 c. @6 u4 Y2 l: M; p

. O  A1 {7 h5 e  i' X4 i

图9

6 u" r7 C, g1 mThat’s all!
Peter

[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ]

winbondowen

兄弟说的很详细。
但最终的实现是不是采用MS的那个AP
# w2 C& V; }# S4 N( B动态生成VBS脚本，然后执行
上面Debug中那些内核函数，兄弟你不会是自己做申明吧？
刚才骑车时仔细想了一下，觉得用那动态生成脚本是最方便的。
如果用COM来访问，我试了去调用，结果总是不能执行。

peterhu

那些内核函数是微软的symbol,怎么可能是我声明的呢?
使用COM API访问绝对可以,请看这里http://blog.csdn.net/hgf1011/archive/2009/04/14/4073457.aspx
这是我写的一个tool,使用COM访问.

winbondowen

可以了，附件为C++写的一个执行WMI的程序，可以执行ASL代码了。
% n: @* ?4 e3 X以前不能执行是我把namespace给弄错了。
, c' F; g; z. J2 p% g) a谢谢各位。

go_ahead

刚开始学习acpi，收藏了，谢谢！

go_ahead

看了楼主的文章，有两点实在不是很清楚,望楼主指教：
' C% U, U2 ~+ y2 E# n1  该怎么把asl文件刷到BIOS中，是否需要BIOS的源代码，还需要其他的工具么？如果没有BIOS的源代码，我是否可以用ACPISCOPE刷到BIOS里面？但是这又引出一个问题，我不知道该把这段ASL放在DSDT表格的什么地方？
) x. z8 q1 e& R" w! N( }# i0 {2  我在其他的地方找到一般都是把acpimof.dll注册在HKLM\System\CurrentControlSet\Services\WmiAcpi里面，
$ Y% R9 Z( l4 z# O: H我在xp上试验的，我的机器里面没有WmiAcpi这一项，是否我需要自己新创建这一项，然后把它加入？
) p3 v" w' X6 I: v" [! q- p1 L) n1 w不好意思，我刚接触这个，很多都不是很清楚，自己在网上找了好长时间都没有搞清楚，所以只有麻烦楼主了。
8 {5 K) g# k8 z5 n% [+ ^5 p5 N先谢了！

go_ahead

关于第一个问题，我用iasl  device.asl编译没有通过，出现了一个错误：
Error    4095 -                    ^ parse error, expecting `error' or `PARSEOP_DEFINITIONBLOCK'
但是这个device.asl就是DDK自带的。
( i+ t/ x6 N) V' L8 f, A. y第二个问题我直接在cmd里面执行的时候也出现了一个错误：“已加载 acpimof.dll,但没有找到DllRegisterServer输入点，无法注册这个文件。”
% s7 W& t. N" s1 t1 U- a我在网上下载了一个wmiacpi.sys，请问我可以自己修改注册表，然后将这个驱动加载到系统中么？
好迷糊。。。
$ D. v1 k% _0 F# L
( T% M9 X6 q% a* V) `# l[ 本帖最后由 go_ahead 于 2009-8-11 16:48 编辑 ]

peterhu

to go_ahead:
7 C+ J6 n1 E8 m使用DDK build wmiacpi code.
asl code要包在BIOS code中，所以需要BIOS的源代碼。
, H8 Z1 n5 e2 n0 Z0 [; }/ p6 k$ h, x沒有Wmiacpi選項就自己創建一個。

go_ahead

原帖由 peterhu 于 2009-8-11 22:03 发表
" d* h' r- y3 @% q4 gto go_ahead:
1 @/ M  v* ]& I使用DDK build wmiacpi code.
5 [6 e) L7 J* A2 G# Casl code要包在BIOS code中，所以需要BIOS的源代碼。
9 u0 Q4 ?9 m! X0 `0 z* P沒有Wmiacpi選項就自己創建一個。

$ _: O: J8 `2 a5 q, G5 T9 U谢谢peterhu，今天看到了注册表出现了wmiacpi项了，而且查看acpiscope看到了添加进去的内容了。
  J9 r  Y& l. }2 K# w4 D% }但是还是不知道该怎么把dll加入注册表， 今天我再试试也许就出来了