|
|
|
WMIACPI.SYS
1 D4 M/ T a: C+ K1. WMI Concept4 N; q. b0 o4 C
- k% a/ @+ t5 G# B }: N: C
WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。2 n; V9 d* E% Y5 j9 i d
! |% F( p3 \) r2 }+ G
9 \2 n9 u: Y$ ]; v' C, l2. WMIACPI.SYS& D- c" k) b# U% n1 {/ Y! u
1 X h, i% B" w6 @+ d0 w- y
Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：
) \% ?4 V. O9 V; LA．Acpi.sys" @# ?, i, z5 U# @0 O
B．Wmiacpi.sys- c0 x. M5 D; B9 r
A).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。
- |: j }" M1 Z5 w9 `3 pB).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：6 b6 }+ W& `5 _% g2 e5 \3 a/ O
+ q# }4 l+ T" @: @" J1 F
]! g$ W+ b7 K7 C
2 N. m5 }8 M- `7 a4 k" ]当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。
! S9 k) K7 G* s: G
" t) j; `2 h9 s! u2 f$ s3. Under the hood
$ D7 e0 G; ~) g+ r& {7 k: a
, e. c1 u3 f& D' \- F, U) D前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：
4 F! } R3 Z/ {( M! u2 r% F
8 x% g: o- h$ [1 Q! d# {* Y* r
- n6 G& O6 \+ y, h7 o
' i: l6 l: V4 j' k" N0 z" b图 2 7 e4 y$ K$ H3 p" D# [' l8 M N' z
图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。
$ i8 c; K/ {& h# q; y' y, ^/ Y3 w' I6 \* b1 f
8 z* J* ?1 o1 J) n9 }; k图3
4 `+ J' r/ b& f" }6 N7 J由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。8 D. X- A9 c; R% c5 h1 c
7 ~$ C1 n; w. ~. L" {6 {+ g
$ \+ w7 J, [7 _1 \ _5 m图4
/ z: x. B x5 X" z3 ]/ P" v7 j前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：
$ a$ j/ O+ ^" } e( J/ F
7 V( ?3 t# L7 W a" f Y. U6 B6 e8 X# v1 i. g
图5
7 o8 i! o1 K' I. H经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：
( N2 D, J% ? E# D" {/ s' x* z
2 n+ o4 Z* A. `% A1 s$ J图6
" ^$ J+ k% I( @! k如图所示：
/ g/ z- ~3 _; p; R# x
! B w8 Q. K; e4 Hwmiacpi!WmiAcpiSetWmiDataItem8 y6 l$ g3 Z1 O2 K3 M, I1 |; ~
7 T' a' |$ R! B: }wmiacpi!WmiAcpiSetWmiDataBlock
- o' n5 M$ K) e& w
, J) ^) W- X, Zwmiacpi!WmiFireEvent
9 [* I4 }7 x; H0 ]+ }( ~6 w2 Z; C1 F0 E, c: i
wmiacpi!WmiAcpiQueryWmiDataBlock% [4 Z; C4 }8 D
! f* v {3 j5 f9 ]5 L: B
wmiacpi!WmiAcpiSendAsyncDownStreamIrp
# i9 R9 h+ s! D5 @' ?% _6 p2 w/ F7 P4 z6 A7 V& n6 ?
wmiacpi!WmiSystemControl
* a2 P0 y8 a d+ `6 r
7 e" m5 @' f' I+ {0 n; A1 Hwmiacpi!WmiAcpiSystemControlDispatch
: `$ ?, I4 u- N I( H0 W# e3 M. M$ `. C$ h+ e( i
acpi!ACPIIoctlEvalControlMethod, T7 M/ B8 o f' Z7 |
, S& y" p" b+ h' x, T+ C# ~
acpi!ACPIIoctlAsyncEvalControlMethod
^/ k) I% X# k4 S( O. ?0 S3 h% w3 [4 _9 J2 i* h; _
acpi!ACPIIoctlAsyncEvalControlMethodEx
3 F% Z5 X* M& g4 |& w1 w% O @6 _6 `6 k8 G* `
acpi!ACPIIoctlEvalControlMethodEx
! X" P0 k2 `2 {' S: {1 }! S5 P8 W& \
, X% V( u2 [6 U" h" Facpi!ACPIButtonDeviceControl0 z0 `5 p" X* m7 g( H
9 R8 I. I% D4 P F5 c% z4 b" U7 M3 d$ N
acpi!ACPIEcInternalControl
" V" |) l$ s4 j9 u( N/ H& h5 @2 ^1 h1 v; C) P) O
acpi!AcpiEmbeddedControllerIrpDispatch) m4 z- ]# I# L8 k0 I$ Y
6 v5 ]% D5 `. o# [' D- s
acpi!ACPIIrpDispatchDeviceControl# z; t$ f0 T G7 i s' \" @
3 h* U0 o! ^2 bacpi!WmiSystemControl+ f4 ^2 Y$ _5 A
3 ?: T: X ^# s1 A7 R$ h
这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。1 q, p+ \, O6 n: G% s: j# L8 U
+ Q: r! w d* d( _: f. G* z
( k) y5 }4 w' a4 i `6 ?# F. `3 b$ J! k \" r7 W, |
5 v' q5 Z' z7 S% `; d
图7
4 r7 E; t5 k* \' W 图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。
8 ^4 e. X8 L' A( O: }7 s0 R M! f9 c- m. ^0 J/ w/ l
1 u& f' n1 ]: G7 C
1 Y& z' t0 `* M# {7 o4 ~图8 , Z5 l. J9 O5 v$ O L3 ]: V* Q
以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。
$ g5 _; I1 D, x* J) j9 X( p8 [+ N M) J* ?
9 Z2 g, z, V1 k$ Y6 x2 ]: n
0 G N2 W4 P- w' P& S1 b4 e图9
T- j: B7 Y* w* {8 }& EThat’s all!
; Y2 R: Z6 J9 v* K$ t! W5 F# ?; p5 J u3 TPeter
9 Q8 j) r' V& K
5 Z4 Z8 o& U, g5 H# \[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|
IP卡
狗仔卡
发表于 2009-5-22 17:14:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
发表于 2009-5-22 20:27:37
1 \' y* l. e, H! j
今天我再试试也许就出来了