|
|
|
WMIACPI.SYS
+ w6 Q# D; ?/ D6 h1. WMI Concept, b+ p2 ?* j- G8 W% |
1 |# ~: ~8 \6 M0 _' N$ N
WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。7 P6 |/ o' s# C% I0 U* g
8 [/ v* l. G h/ E$ e2 x
4 \. [2 ~' ^! R- `+ a2. WMIACPI.SYS
9 ~3 T/ I7 \% x( Y; d$ z6 ~5 V9 s4 V5 r' n2 u8 I; A( P; W# q5 @
Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：
% j' I+ T. ~8 RA．Acpi.sys
( O/ H0 w. T2 nB．Wmiacpi.sys
- ?- h, ?5 M# ]1 j7 nA).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。- y. B& n* y% w% a: e8 h7 |
B).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：
7 g' x8 {3 t* T7 a% W7 N8 d2 e L% |1 P, G# n- f- U _" c6 \# f: A
3 m+ B T# I1 l$ V2 z( h8 e |' J
/ ], b$ C) P; l7 h. _) i' N
当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。
8 A6 } [2 Y2 b) s( i% r H8 a. @6 `% H9 v6 v2 \6 S
3. Under the hood( r3 N, n$ |+ T1 x0 w
9 \" a" g+ f3 J! J0 e1 c) k8 e前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：
! C* a- S O7 p& h& `: W4 O! [8 f3 L" Y* ]4 {; v4 D1 P) z
8 T& }: B! D" e' O- x% |
3 [' B6 t1 d/ B* q6 j
图 2 3 p8 O; H- x& U5 F' _1 u% C
图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。
" i7 d" j2 `. K% R6 t
* q, S/ {" i7 F& A7 ?
; T- L" W- B4 W3 D图3 4 G$ e" w4 C+ [
由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。0 e$ v# q6 _" [8 [6 I
) r* U/ ^6 F4 ?' }4 b! x9 _ x5 P
% {1 B. h6 u% X Y. \# `图4 / V$ u2 A1 i3 b* Q4 ], [
前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：( R) r- H8 ?: }3 h5 n+ q
* u4 N9 T5 c8 P* p+ I+ Q6 |. o$ M0 Q/ X6 l9 \$ V5 W
图5
9 i( v& X6 p, a* l& n经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：8 M2 S* A0 I; a& \/ [% x( L. {; A
, c: A) C( C, ?* y
& p- }4 V2 m2 s( E! m# w S1 ]图6 $ g( B, o9 D: A7 x
如图所示：1 r6 i5 w8 S4 F
( I& i8 n! W q' \
wmiacpi!WmiAcpiSetWmiDataItem5 ^3 f% y+ r& f4 F3 G2 w" O
0 r1 O( G$ b7 ]: fwmiacpi!WmiAcpiSetWmiDataBlock- c' @2 Q/ Q6 `8 U7 \6 T7 a
% |2 ?# c Z% I1 b( N ?wmiacpi!WmiFireEvent
" D" ?9 S' n: X
4 @9 P) y/ D }" t% s" F! swmiacpi!WmiAcpiQueryWmiDataBlock
3 G: _( z# |+ k; ~* n
, X5 x* |- {% _1 A4 S- Ewmiacpi!WmiAcpiSendAsyncDownStreamIrp; [7 X, r* p8 G, j0 i
) j1 m* O- c/ u0 Y% j1 zwmiacpi!WmiSystemControl/ Q4 h$ a; e y9 x9 K3 @0 P# y
, r1 }- r7 c, k2 o6 E7 B* {9 Kwmiacpi!WmiAcpiSystemControlDispatch
, |- A! V6 h( k; t M3 B2 P0 C* v
) [" P3 l$ A' H1 A P( i" J7 X5 _acpi!ACPIIoctlEvalControlMethod) B" |! d" I0 q2 _3 a1 c6 Z: X
& W6 ?' y6 W4 k, D7 E3 Z# N7 t, Nacpi!ACPIIoctlAsyncEvalControlMethod E6 k5 Q* j8 q/ ~* o
* q) J; c7 l0 }- lacpi!ACPIIoctlAsyncEvalControlMethodEx; T9 q9 M2 q" `; j/ G4 H
% [) p3 C- L2 h% z( M3 N$ macpi!ACPIIoctlEvalControlMethodEx p! K$ X. H6 f; T/ G+ D$ u
' A z( C! Z+ U+ A/ G2 l8 k; tacpi!ACPIButtonDeviceControl
9 [4 T5 ]8 I& Z3 z; f' A, v) {+ R$ |6 v
3 T6 y* {' S5 nacpi!ACPIEcInternalControl; g: W9 s3 S, o& Q4 m! O
9 ~+ F& R9 `, S9 E
acpi!AcpiEmbeddedControllerIrpDispatch
; R% W+ S, U" H& W$ ^( w j
5 P9 K4 G# q- l! O' jacpi!ACPIIrpDispatchDeviceControl
: U% l, T5 m8 z4 B
( m, P" U+ f6 e6 P/ qacpi!WmiSystemControl
8 y9 H1 f. l% X* L1 K/ K9 U+ S8 }2 v. ]0 u( z' G- F" j& |6 L( A
这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。
" p7 Z5 A" L" g+ f$ Z3 A' R- \0 O% f4 @3 m# }0 R& M. m
2 s: j3 h7 S$ D" E8 F' ?& `
4 w, \' K) g" l: V! A( `7 x
8 x7 U. U+ A/ E( Y4 F' \9 w/ |图7
$ u5 B, Y5 w8 }. m 图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。. r5 ?; i' z t1 | f& l+ O$ c
0 q: v, Q9 v; E- D) Y9 N6 Z
/ d# o+ H; n p/ s; X P5 l
$ X2 e/ | U- `. u图8
& O( i8 w& Q4 D% d1 f以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。
4 V7 h7 R- X% C [+ I& \2 z
/ x4 r z' W$ x: y1 z; j$ m( J' d* o; J+ O, e3 I
/ Z3 d5 o- t: D# Z! ^
图9
1 K4 F4 N8 m* l2 L0 ?- uThat’s all!
: e( i5 ~+ j4 \Peter 4 ]7 r0 ?% l. e
. |' G x6 X+ x1 ?* r
[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|
IP卡
狗仔卡
发表于 2009-5-22 17:14:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
发表于 2009-5-22 20:27:37
今天我再试试也许就出来了