|
|
|
WMIACPI.SYS & f) B1 L9 Q: ]" W6 j: I$ B1 }: l2 p
1. WMI Concept
4 K7 |# ^0 j }9 s: F% x- Q
6 \6 w" g/ v! M8 \WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。
. d" u6 y- o) @) w6 `0 w. G3 x' x% V; r; K6 F* V! ?
6 b! K+ \& ?0 V- `! n2. WMIACPI.SYS, u* `9 X* ^8 y. d0 X( ~4 `% \
' X1 X, I+ f- r, @7 B' [
Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：
: y% {! O A5 _% o3 I% e; I0 dA．Acpi.sys
: @# z* R I eB．Wmiacpi.sys
; K& u3 b2 D0 l# WA).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。
0 \" \0 v: D! _# m# \* t( EB).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：
2 E8 w$ B% y& M5 a3 H8 `0 Q {9 B3 ~: @9 Z) x% A) M+ h
9 ^# K' x: k* j6 h
0 I& c$ h y- P" j; S0 g- M当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。; b% w% f0 h4 D% p
# Z* F; a0 N6 X; M9 R0 b3. Under the hood
7 U) I4 L) K" u% z. @1 @7 B2 B" A$ D7 X* r/ @0 y! F3 `( f
前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：7 W, f$ O3 T$ A5 A* j% J1 l
* S5 c4 g _7 D" e
! I4 i. _. D# p
! T2 o; L) _3 U# S$ ^+ ~图 2
0 P/ q' K% k8 k! j7 x( `图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。$ ]9 D) {8 `, h. i+ m4 T% s
- k# `4 V- Z; z
! F) g- Y9 P7 N1 _7 [' }图3 2 u3 a% x) U# \" W3 o0 V
由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。8 }; t* W' N9 p5 m9 F1 t
- r' n2 Q$ L' S1 E1 ^
% j( V8 H- j7 J图4
" h) e* ]6 ]" j/ Q2 a5 {前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：5 F9 U1 d; b! [8 I$ X. b
1 [# S6 w8 ?+ J1 q' L
5 v+ M2 s) M/ e- V. H9 h# ~3 D4 `3 U5 d图5
# g- y8 {3 C; j" o. s经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：
@: m% C6 k3 z. O3 l7 t& s: r7 s6 _* z5 g, Z/ h
8 m8 b- X2 _" ]' F; ]
图6
, T; G3 U; J0 ]" }' i如图所示：
% M, A: e' ^* f {9 M6 i! J9 G6 z* L. t4 ^+ {0 r
wmiacpi!WmiAcpiSetWmiDataItem# h8 s; x- L/ u& P
% I3 q4 i3 K6 p8 `
wmiacpi!WmiAcpiSetWmiDataBlock
" A1 M) W0 z" |2 U) D, e- W9 I" x/ i' E( B5 v% c
wmiacpi!WmiFireEvent
5 i! I- ~1 h' u4 r( K) U
) U- Z5 E8 {7 Y4 X" y$ lwmiacpi!WmiAcpiQueryWmiDataBlock
* j/ p" T3 n/ h' _$ X
+ ~% z4 R5 d) n" L6 Uwmiacpi!WmiAcpiSendAsyncDownStreamIrp
1 c) {2 h6 W- W" T2 X! z
! y: w& X" X/ w' C6 D N5 {. E- rwmiacpi!WmiSystemControl
- V% X% {* u8 m' X; e8 m6 d) Z, q0 z4 t
wmiacpi!WmiAcpiSystemControlDispatch
* f! _' M# X$ {
+ s# D4 M2 k x) ~acpi!ACPIIoctlEvalControlMethod- d. o6 N+ I# I
4 }4 J D; U( s) y7 Nacpi!ACPIIoctlAsyncEvalControlMethod# _! B q5 Z. E: Z/ }6 U
4 h. Y. I8 G- Q! e% @ _) m
acpi!ACPIIoctlAsyncEvalControlMethodEx3 d t: t, s$ T, L0 p2 H
3 P& j# P. x, @4 U [acpi!ACPIIoctlEvalControlMethodEx
2 `$ ?: S' I+ q# I
* U6 b$ X/ `; p% w+ ], G1 r- Nacpi!ACPIButtonDeviceControl0 \: r( s, P4 _2 W- n
" x- G0 V( p/ Z* M% Y" dacpi!ACPIEcInternalControl
& \8 K3 g" J& o# [
Q& w0 B; V) F$ |& W+ facpi!AcpiEmbeddedControllerIrpDispatch
+ U% M. v; g$ N0 W
7 H: n; Y4 a) h8 iacpi!ACPIIrpDispatchDeviceControl8 v, D' K P: Z& X
) Z/ F& `- R/ I* a& f1 c5 a; M
acpi!WmiSystemControl2 p5 Z+ d8 E7 {
& G8 S# ~# ^. V" z8 |7 p& o
这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。
3 H K1 v& r8 `( W. T [- H
8 }1 V# Z. M |1 m9 m2 J8 p8 m( m2 S5 h1 `5 @
- k6 Q x4 v* O, V
4 }2 }- i0 C) A' P, w# N
图77 }# Y5 ]3 p( ^
图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。6 p+ e! c7 H2 X$ A, x, W
" H5 ~0 E8 Q$ R$ X- ]* {: e) T
8 w: D% Z# B8 T( s' W& _% @# `" `/ ?2 k
图8 * E( n+ R; g' ]5 Q7 R- T' g3 E
以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。4 U/ b. k- {0 y" f! f
6 W0 P; O. V, {% b, f
# T6 V' Q' r3 G$ \* u S P5 f z/ {! q! j4 L6 U
图9
, h' n: q; F* s8 u3 ?That’s all!
1 p1 J) V; K9 F/ @; _Peter
: Y8 P1 e s9 b: s" |. x' d
8 r4 b+ p0 s4 _3 A; ?[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|
IP卡
狗仔卡
发表于 2009-5-22 17:14:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
发表于 2009-5-22 20:27:37
% N* j" v7 x% O; |: t
今天我再试试也许就出来了