|
|
|
WMIACPI.SYS
3 d+ B* L) A1 Y2 Z0 L0 I& V2 m1. WMI Concept: g: w$ U: M: X8 q7 v+ {' N
# h; Y* f: ~( ^0 z% e! }WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。3 }, T. Y4 L+ Z- M" K
% q* t0 f$ K5 n2 T9 x6 _
) n+ ~0 v7 r E" f. x( ~( x1 Z
2. WMIACPI.SYS
- h9 b1 c# @0 x; I7 I. [
@. r/ M7 K% d. `Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：7 N8 o7 m3 {+ M1 P. S, @
A．Acpi.sys4 W7 d) T8 C0 O: |
B．Wmiacpi.sys
3 |3 X8 H g; h( kA).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。; W2 r. \5 w3 L3 Q0 P0 e
B).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：4 z; }( l9 r C$ F
6 T9 e# [- O5 `1 f; F' h
% f6 q/ @; }& F
5 M) W- `7 ^: R# ]当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。, I/ T* x5 A4 P3 ]3 D+ m
$ ^% p3 }, l* L0 f# f9 [7 |3. Under the hood6 _9 b0 F0 N: U: X% @
- I6 b; }' Y3 x9 E( n前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：
. L4 S5 q5 \% n$ d0 B6 E' P9 _- T& G& |8 S. T. H$ L( }# O) Z
2 |0 C* j d% h: ?5 S% }
- `; O) J9 j4 a+ l) v! S
图 2 . }- w! F4 d; p+ [) V
图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。
' Y" u( }& Q+ B! r6 I5 C
# s* i5 ?+ [* x! d+ O: ?/ b
. A& f7 X* ~5 E N/ u. ^4 l图3
, V/ n, u8 Q1 p$ o5 h由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。 q* }5 }% a1 v
- W) p: k# X! |
( m( S9 S( s- E3 o& Y9 ?( ]图4
& r- } B7 y7 I+ C前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：
0 a. c3 W9 p4 d3 r2 _
& d- x- V; z, u L: F0 t, m4 B& N; s
图5
7 @3 m5 H$ l; N. N经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：- k& t1 v/ V7 T a" }4 E6 Q. B
6 _0 Y* h; } z. `2 x) f# d. }: `" [, Q5 V
图6
+ l9 v4 M/ L9 u+ T4 N( {! g" t0 @& `1 y如图所示：) h9 U3 r3 B: f2 @, x
5 M9 G M, Q! J9 ]4 u
wmiacpi!WmiAcpiSetWmiDataItem2 `# k' F: }5 ?- D
; _ T$ R4 D1 Gwmiacpi!WmiAcpiSetWmiDataBlock
$ Z; y; C+ C5 G% w2 H3 M) S6 u+ H$ A( `% G
wmiacpi!WmiFireEvent" a( d% @* i7 e/ d$ P7 w6 ^
- A& N+ v, p/ f+ t
wmiacpi!WmiAcpiQueryWmiDataBlock+ r; z5 B5 r. X0 n3 z: y
/ D& m! ~- ^4 n3 D7 d
wmiacpi!WmiAcpiSendAsyncDownStreamIrp6 M. `5 h# @# n* Q
6 q& O+ `: ~/ p+ ]& l$ R8 w3 ~: twmiacpi!WmiSystemControl5 F% U8 x7 Y/ l Z1 P+ H
( \# s% a7 \& `0 n! r) A% O) [wmiacpi!WmiAcpiSystemControlDispatch
! K& U: [# j% v) t
! n. R/ R- f% pacpi!ACPIIoctlEvalControlMethod
' h4 G- k$ Y" |3 y0 ?# v$ H+ L+ \7 ^( {+ D8 z( A! n
acpi!ACPIIoctlAsyncEvalControlMethod8 ]- u. \+ S9 f$ D: Q4 [8 L) o7 j- z
5 d$ |$ q& s( V6 n2 ?+ b$ K4 eacpi!ACPIIoctlAsyncEvalControlMethodEx
* \& l2 v3 q) X% J
# J5 I5 ~$ r. y/ X1 ~. K2 W& tacpi!ACPIIoctlEvalControlMethodEx
" M6 }8 g3 o9 q, p5 K1 A, x0 h; c/ l3 M$ \3 i
acpi!ACPIButtonDeviceControl; g( Y7 S$ x9 g" a% `5 k
0 `' z1 _+ z& ?) S2 k. Nacpi!ACPIEcInternalControl: @3 \( r7 p& x$ @1 {/ \% g
" f- G" y6 v1 J2 r F; ^+ }. q
acpi!AcpiEmbeddedControllerIrpDispatch
) Z$ c* W$ Y8 ?& t
" t: |' b. F X e }( c9 Kacpi!ACPIIrpDispatchDeviceControl
# z( G. a4 e! r: `2 `
H/ J. k6 s$ Z6 K$ xacpi!WmiSystemControl1 P. [2 k9 j1 Y& }8 A! x
& G1 q1 f8 v0 h5 z ^
这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。
: w/ Y8 M# w4 g9 C' E( m4 \$ k' |" R
{5 Q2 z, ]; y1 @: I
% }8 L6 Z/ D {. O' p, u' L/ B+ ^3 c8 z+ U
, S+ d5 O! ?5 Z7 }# {0 P
图7
/ U" t1 e: l O# S+ g6 ?5 u 图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。
, m% H4 B+ ]4 L+ H2 ?. S
+ {* d% ^0 @" e/ n3 _& C5 Z+ ]6 F) Y8 \9 H9 ^; T, O% m
. a% N* ^' {7 f) q
图8 6 U1 b9 D0 y7 ]5 ~9 b d
以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。
# [8 W# O( f: K1 [1 \$ f0 E0 r+ J. @7 s3 M
9 o& U. k$ K) o% D
* k- y; w5 D0 H/ J- L' B% e
图9 1 q, o. V: V: F) v. a- Y$ U
That’s all!) j1 y5 o( A) ]) I5 c6 @
Peter
* _ q5 Z3 r- p. ?0 j( b/ W" u7 @
7 |/ ~9 O' t& a# P[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|
IP卡
狗仔卡
发表于 2009-5-22 17:14:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
发表于 2009-5-22 20:27:37
今天我再试试也许就出来了