|
WMIACPI.SYS
. M& ~4 V7 F3 O# V0 i1. WMI Concept
0 j. d! M8 I0 ?5 D: J, P b9 [2 T- U( ]* A2 Z b8 [: q! }
WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现,WMI希望为系统管理以及分布式数据描述提供一种模型,并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。# p W# C. t2 ]5 j* L
+ `7 O( I" R$ p$ X G. p
& o$ x2 ]; [0 \& _0 i1 {. L
2. WMIACPI.SYS
; E# E; k; ?5 Y1 ~1 \; A! z$ M" d
+ M3 t9 @$ ]7 e `% C. KWmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.,ACPI包含丰富的系统信息,OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取,如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi,bini已经给出了非常详细的讲解,有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的:9 S1 I- z; l1 J6 h, U* _7 V$ Z
A.Acpi.sys
* o) `( Z" Y4 S! o; p1 T! D, j# NB.Wmiacpi.sys
. {5 [0 \) }( D5 ?7 QA).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码,所以ACPI asl code真正的执行是由acpi.sys触发的,而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID,并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver,battery driver,lid driver,fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。5 e; t2 d2 F! ]4 H3 ?* w
B).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device,OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的,为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢?要搞明白这一点我们来研究一下WMI的工作原理了,下图1展示了WMI Architecture:
. e$ T7 ]# `8 X9 H/ D% Z% \( ^9 Y3 z( R2 @* \" n/ ^
; |( [( x6 ]; A' H2 {" J$ N
6 @5 W% g1 V- k( M9 L6 t0 w
当user使用API访问WMI信息时,WMI CORE会查看repository中已知的scheme定义,然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver,它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中,consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme,如果驱动程序MOF scheme 部分正确无误,那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行,我们还需要给出与ACPI asl code对应的MOF scheme,并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中,后续consumer访问时WMI CORE就会检索到scheme信息,然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code,最终执行动作还是会由acpi.sys发动。driver是层次结构的,acpi.sys是wmiacpi.sys的lower driver,wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys,acpi.sys再返回具体信息然后逐级回送。
. ]5 o1 r% S0 o% C2 i) h# ?+ s7 E
4 J6 L) ]& s( Y c- ^: V w3. Under the hood
& u6 @, W- K# S
6 J% N! D* b8 r- H7 {前面都是原理的介绍,讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做,随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode,build之后会生成一只acpimof.dll,在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载,下面我们就使用该tool验证前面的说法,下图2演示了我们定制wmiacpi之后的状况:( H: r2 x1 b% U1 d$ G) P
1 p" [3 R- m$ a9 ?) I" J) g- {' m9 L3 _$ r( v X) V4 e: e
) u+ Y! @4 B# J, T) c5 _图 2
4 M3 G5 t2 ?% m图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧,祭出WinDbg,let’s go!首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。
8 m: O( }/ l& x- K: U+ h: _ m5 G7 d5 l7 ^
7 V; d6 N$ ]& c; W
图3
; _/ E# b. _: O+ f( r1 Q7 v由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢?别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息,这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。
4 `2 ]1 Z, ?- ^; ^: s4 w, n4 J4 \7 s
* `1 @( k# V8 y. H' y; S
图4
' @1 r: G$ [* L5 G前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol,下图5显示了acpi.sys的所有symbol:
6 d0 X9 o3 ?3 x. Y2 b% v! p) L( t6 |! l0 M, D3 A/ j
( K! i! g# k$ a. F( T& G/ g% h4 m
图5
: l: v& _' l3 B3 u; X2 N" X* M经过分析上述symbol我觉得下述函数很有作案嫌疑,所以将它们秘密监控J都给设上断点,被怀疑的对象如下图6所示:" _/ C3 M1 m9 a( {
) |) f- C% k' F7 {% u
8 M2 j J2 j8 L3 a) Z图6 ' ]+ Y9 u' c- z7 d3 I2 m8 k: i
如图所示: y# U; T; ~1 ^
" Y0 f- h7 e2 T4 u
wmiacpi!WmiAcpiSetWmiDataItem& }9 i% I" i, A8 B3 d$ D
! O) |- i2 ?: ?5 e* r
wmiacpi!WmiAcpiSetWmiDataBlock
. _; e$ I+ Y; X) z
, P+ L: |8 y$ X" cwmiacpi!WmiFireEvent
! G8 m. k0 O. \6 n5 K( q0 ]) ~: G% E D. o% [ m1 o( z! a
wmiacpi!WmiAcpiQueryWmiDataBlock
& d, t# T& A- t1 U0 K$ _+ Y+ F% w/ G: F( q q: `
wmiacpi!WmiAcpiSendAsyncDownStreamIrp% b" m0 C! g0 C; X8 Z
6 \" v2 ]4 r2 Y8 p8 F1 t4 kwmiacpi!WmiSystemControl
9 L- B% T* g; F$ `2 ^) I' Z: s$ {4 w
wmiacpi!WmiAcpiSystemControlDispatch! Z, Z2 i i7 C/ N
) k8 n, @( d9 g7 Cacpi!ACPIIoctlEvalControlMethod/ Z5 b2 N |% w- D5 K
, j( [4 Y% H {& @3 G* V3 g
acpi!ACPIIoctlAsyncEvalControlMethod
' F2 J" U j* H/ J2 A
" y0 N; {. M8 f! uacpi!ACPIIoctlAsyncEvalControlMethodEx9 q6 W0 }, t& c5 p- z) o
3 d0 Z" w/ a; A" [! d; L9 lacpi!ACPIIoctlEvalControlMethodEx
1 f. V* f5 |; k5 n' c4 Q
/ m1 \9 U1 N1 T& Qacpi!ACPIButtonDeviceControl
2 C5 A9 o2 Q4 C: B. i/ J
9 M- y" N& y6 n ^4 Nacpi!ACPIEcInternalControl. W3 }4 |6 g9 x' i9 _( e/ V( [% u
U4 @0 h2 `% m4 p2 G- p0 \acpi!AcpiEmbeddedControllerIrpDispatch# z) \" \' e- R; Q+ ?
3 o6 H0 J* L0 B
acpi!ACPIIrpDispatchDeviceControl! q. t0 c% d9 G" B! U
( H8 j/ e5 l* c% macpi!WmiSystemControl
2 z0 |, N" v2 Y" V2 {* L% F& C, D0 D8 }3 K) _) g
这些函数都被设置的断点,下面就我们读写一个class试试看了,图7证实了我之前的所说绝非空口无凭,我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手,当然后续还会有别的一些动作,但是上述行为就足以支撑我的论点了J。
- t. ]8 J7 ?3 w6 d# \0 q4 u, F
$ v8 T* g" J. r3 p" N
. @) w: ]1 I. {& }$ M9 K! E" J/ L& G `3 N$ F! Q5 K
" ^9 j% Y$ y4 R# i0 ^
图7
2 k- M. A* [0 A. Q7 z! b 图8演示了我们发一个event的状况,图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。
H5 R3 ]0 H! W- w) O& Q1 W0 K9 r* S
( ]5 } W1 ]7 O0 q- ]
8 X7 t& j* p# R# G图8 " u7 t }1 U0 a! r' m" j# C9 T
以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了,再附上一幅我的debug环境J。3 X! i5 e, X$ t3 @$ v2 S0 _( q8 K
, i+ ~8 l, M& @
3 Y3 l2 Y6 a& c$ u5 X
* j& m# p5 z) `3 A" s" P) w: P图9
0 [! U5 u3 c6 n* d: nThat’s all!8 a" T* V$ _6 F
Peter % F# T( r2 F( `8 ~
4 j6 u5 }; h6 X& S9 }[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|