|
|
|
WMIACPI.SYS
$ I( K' ]( y" ~! t6 q; Y, E1. WMI Concept: l5 ?9 `& Z1 G
6 I4 @0 U8 u9 e+ Z; J
WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。
& h- l) T" v, O4 p1 C+ V! ^
/ J; F" N4 ]8 T% p0 [8 B
1 N- q. k5 k' u7 k1 b2. WMIACPI.SYS
' M W. W% `1 V1 ~9 q2 X6 o, D& ]) S5 k5 g
Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：/ O# [/ l( p+ t- N6 B3 A* a
A．Acpi.sys2 _5 |5 }3 y$ p# D. {3 z
B．Wmiacpi.sys8 p/ v3 W- U2 ^& ?) q: k
A).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。
* Q; o9 J4 Z% d% v% YB).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：5 ^7 c6 v# w( ~. g- Q" `3 p! S- ?
( Y! _+ W9 S4 h) d+ d
+ k! [; O4 q1 ~; A; ]& m
6 `5 L6 K+ j* t8 }! t当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。
6 U9 a$ _* I! w
. Q: I: L" p- E0 r% ~3. Under the hood
2 ~. Y2 K7 v" U1 Z" e: {( r$ }( B6 j6 X
前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：
1 a6 v. h# H9 A3 `
4 j( N# a" T4 R2 N* Y- g
7 P+ U. V" D6 \) |) [* {
& C* G5 k3 X" [图 2
) O: L# N5 K# }+ M0 u图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。+ P+ }, Y; S0 Q( e7 M! X b
, Y P2 M- `% m- R8 w& Z) V
8 ]6 ^2 w; l' ?; T/ ~图3
- k9 K% c. P$ E9 s由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。7 @# c2 o3 F. F( r, ~
" Z' O# z* m! y! }
, c8 s: X, g0 o图4 ; g$ U/ ]& O5 h d& W; c
前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：- u* H) }+ k6 A/ ^- [
1 s& k( Z4 G# I3 m+ i
5 }, _0 h+ l. }( } t% I, F3 y
图5
# C* G, }1 i. h8 c7 r经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：. A6 n- B# ]( j" n" S: D
' V& h# Y/ p: A( p9 K! F8 E B1 h0 a9 e% d# w/ D' B1 l
图6
! b/ W' E: A3 s6 I如图所示：
5 A8 b j5 U( W( d; y: `9 \
9 `& s/ h" e* ~- Z9 r; ~wmiacpi!WmiAcpiSetWmiDataItem, u& T7 {0 V9 w+ o+ T
4 g$ e4 z" ^0 n3 R) S1 S- P$ p2 G
wmiacpi!WmiAcpiSetWmiDataBlock
& a0 B" t4 n9 t" {/ j! W* W5 X% l* _7 m/ G+ z2 H
wmiacpi!WmiFireEvent. t2 \ S7 r) Y: E. f7 I) D! `6 m. ~
1 v: I' p" a) F! a, I2 A
wmiacpi!WmiAcpiQueryWmiDataBlock& O2 ] S" j- B. t @, w. H
7 |, w( \ [9 d5 t
wmiacpi!WmiAcpiSendAsyncDownStreamIrp
1 L8 y. L& ~- ?9 g
! p5 G g! e# A4 ~! U' xwmiacpi!WmiSystemControl! D$ i' W5 S0 ^( [
! F. J. }; z0 h% c8 f' Xwmiacpi!WmiAcpiSystemControlDispatch O6 _+ A$ T$ c% k; Q% G c; k" ?% G
9 B% c8 g2 ~: M. l* l
acpi!ACPIIoctlEvalControlMethod
8 B3 Q+ L% f: d7 l% B
" L1 {7 H6 x: z* R, c wacpi!ACPIIoctlAsyncEvalControlMethod
5 j2 U7 Y; p& k+ N5 C# U5 m. {2 \$ w; r# f- R* r. t$ W
acpi!ACPIIoctlAsyncEvalControlMethodEx, Z( `3 N1 N: S
% b' t) Q( z0 c8 i/ |2 R9 Nacpi!ACPIIoctlEvalControlMethodEx5 I( v+ G. w. F1 N, H" q
" I3 B2 s& W" F2 \7 }; t
acpi!ACPIButtonDeviceControl R4 f8 M) M2 S3 g' V& R W
. x( Q, j) L; S2 _: q0 C! macpi!ACPIEcInternalControl
. M7 O2 n' L6 }& R0 X- G2 f
2 g7 C1 C! _9 m4 c8 ^acpi!AcpiEmbeddedControllerIrpDispatch8 i/ _. X, `& _2 I
9 g# n; r3 Z7 B3 i G& y4 V# `: H& ~acpi!ACPIIrpDispatchDeviceControl
3 J) i3 y- w0 g K: {+ A. y' G0 S' _' r p) i3 t' P
acpi!WmiSystemControl! T7 n/ R3 _1 G6 |) R+ [+ L
; F+ l; D" F1 K& Z
这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。
# G; r6 ^4 ]4 A; m9 w3 |5 H. {' [: O
9 W3 ~, y$ ?4 \5 A2 b
+ ]8 s/ u2 {7 _, p- t
9 q) c7 L# k0 ]$ b
图70 m$ A% x ]0 d) S9 d3 q9 W
图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。# [9 U9 @( m; M+ L3 r
0 b5 A3 U7 V9 ^( q/ I% v- M* `
, N/ j0 o' B: K! J
8 W) x! P( }9 F
图8
% \, l V0 d6 L以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。; F4 b- b/ g+ g+ }& g$ J
$ g4 G! n8 s, w3 i. u' Z
! G0 [. d6 F5 E* S1 O. S' ]( W8 Q3 _" f' ?& Z; }) y4 S) o6 ~
图9 7 O. r3 i% ]: e9 b7 j
That’s all!
+ P' A9 _1 p0 \Peter
/ W! q" {: O: p; O2 A: k+ j, K$ {* w, L2 K' P% Y; ~2 Q
[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|
IP卡
狗仔卡
发表于 2009-5-22 17:14:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
发表于 2009-5-22 20:27:37
今天我再试试也许就出来了