找回密码
 加入计匠网
搜索
热搜: BIOS ACPI CPU Windows
查看: 22041|回复: 8

[原创]WMIACPI.SYS

[复制链接]
发表于 2009-5-22 17:14:23 | 显示全部楼层 |阅读模式
WMIACPI.SYS
$ i* \  g$ h: q  x! D6 l6 z- S; V
1. WMI Concept
7 U4 N4 X. r2 n# P9 ?& U) E6 L9 k8 j, z' o( a, X
WMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现,WMI希望为系统管理以及分布式数据描述提供一种模型,并且允许使用基于COMuser mode API对系统部件进行访问、管理、控制。; h: }( N# q: T& S' f% U6 _

: [: r5 T: h: q* h
9 v3 ~% A$ Y2 h5 k* K3 E# ?' h2. WMIACPI.SYS
8 @" ]7 E! v7 s: E: \1 ?7 y0 l
/ r  y1 c* K" VWmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID PNP0c14.ACPI包含丰富的系统信息,OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取,如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOSOS中定制wmiacpibini已经给出了非常详细的讲解,有兴趣可以参考
bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的:8 T8 a4 L: Y( q" W) l
A.Acpi.sys! u3 P; U$ t( c: }$ m
B.Wmiacpi.sys
( y9 U9 K$ d0 ^7 z$ ~A).Acpi.sys的一个主要功能是解释和执行aml,aml就是asl code的机器码,所以ACPI asl code真正的执行是由acpi.sys触发的,而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID,并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driverbattery driverlid driverfan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。
6 Z) ?0 S, T7 u" l  g+ tB).Wmiacpi.sys它的Plug and Play IDPNP0c14,一旦BIOS asl code给出定义,acpi.sys就会创建这个pseudo deviceOS就会load wmiacpi.sys作为该devicedriver。当然仅仅加载这支driver还是不够的,为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢?要搞明白这一点我们来研究一下WMI的工作原理了,下图1展示了WMI Architecture
1 a) R( L9 @4 F- z% v) K1 a2 ], r- f( k* G9 v
+ ?( Q0 e1 w7 y3 I6 w7 E
wmiacpi1.JPG $ f* u1 D6 m3 J3 \& ]: g
user使用API访问WMI信息时,WMI CORE会查看repository中已知的scheme定义,然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver,它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中,consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme,如果驱动程序MOF scheme 部分正确无误,那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行,我们还需要给出与ACPI asl code对应的MOF scheme,并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中,后续consumer访问时WMI CORE就会检索到scheme信息,然后下IRPwmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code,最终执行动作还是会由acpi.sys发动。driver是层次结构的,acpi.syswmiacpi.syslower driverwmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sysacpi.sys再返回具体信息然后逐级回送。, z" s* L9 k; S& Z: o' R# s3 \
  {! l! ~+ f5 n& N
3. Under the hood2 L( e) e0 h4 N4 S% l* ~2 x$ ~* o- e

/ y( |) J2 l9 {/ k前面都是原理的介绍,讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做,随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpisamplecodebuild之后会生成一只acpimof.dll,在BIOS里面将device.asl
包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载,下面我们就使用该tool验证前面的说法,下图2演示了我们定制wmiacpi之后的状况:
" Y! H* @+ W5 u' T
; w/ n1 U) C4 p  Y! g! b: }% O. I8 a
wmiacpi2.JPG

, E" @- N" @2 ^" P
2

( R4 ^7 h) w( l( p; a, d2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧,祭出WinDbglet’s go!首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。5 |- w6 q) Z# p. ]" N
& l& l' @3 r& ?6 K5 s
wmiacpi3.JPG
9 y$ R8 x* o% ~" R* e, U
3
+ Z! p6 u7 L. P. B
由图3显示与wmi相关的有两个driver:wmilib.syswmiacpi.sys,wmilib.sys是干嘛的呢?别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.syssymbol看看有哪些有用的信息,这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol/ E9 f7 K+ j% E6 A

/ |0 p+ ^# @" w6 A% l9 Y
wmiacpi4.JPG
! p# T: i" \6 ]: K9 A
4

3 J. r* Q' Q+ n+ y" x前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol,下图5显示了acpi.sys的所有symbol7 y3 a9 G% J. z* C& f

' z' w7 c1 E) b4 K( q9 Q
wmiacpi5.JPG
3 Q/ v$ @/ \- R7 F! U: s9 C
5

) E8 _* S5 J! F/ K, e经过分析上述symbol我觉得下述函数很有作案嫌疑,所以将它们秘密监控J都给设上断点,被怀疑的对象如下图6所示:! \  V7 {" v1 s

8 K" R, ?- R( e0 s2 {
wmiacpi6.JPG

* `- [" L/ [4 d; V- D  s) @
6

+ ?; U1 r3 W* g8 Q6 X( q& l, i% S7 }如图所示:
2 z0 s! u: m2 ]' x3 ^! g+ {+ A. y* Y* \2 d; ?
wmiacpi!WmiAcpiSetWmiDataItem
7 ?+ b6 W8 Q7 G8 ^2 ?/ r6 E

* I4 `4 {5 t6 y6 c5 |3 U0 _wmiacpi!WmiAcpiSetWmiDataBlock

4 ?# |. ?% m4 ~% H! u$ p
. Q, X+ f7 ^8 _" Z1 ]wmiacpi!WmiFireEvent

5 u1 C' m! r+ x7 @. y
; q  \9 W& h% n; O% T- |+ u6 awmiacpi!WmiAcpiQueryWmiDataBlock
/ G# r. P2 Q! E0 x: V* K- v6 j
; D) A# q4 n; z+ N, m! Q
wmiacpi!WmiAcpiSendAsyncDownStreamIrp
  u% ^& O. G+ t# K; F
& T. \! H2 @8 c0 {( i" i
wmiacpi!WmiSystemControl

8 l0 R% s% ~% E$ e( k- o  W) W- Z& [
wmiacpi!WmiAcpiSystemControlDispatch
" g. P9 O- \+ k9 P5 n/ l- t- \, m
1 u' G$ H5 {9 y$ e. A
acpi!ACPIIoctlEvalControlMethod
: z# e( n0 z/ g
" }1 K+ _! Y, s" l
acpi!ACPIIoctlAsyncEvalControlMethod
* g$ G+ v6 R/ m$ {" z3 z
& m+ P$ ~: `/ D8 m/ e+ b' k0 [! {
acpi!ACPIIoctlAsyncEvalControlMethodEx

' G0 r% f6 }6 ^5 |
0 w8 |& D( W% A% ]acpi!ACPIIoctlEvalControlMethodEx
4 {. }8 b& [  f( l

: P  v% r6 i7 q; l% Hacpi!ACPIButtonDeviceControl
9 C; m( ^0 x( P0 @' J" ~) Z

. M* |& s, g* C  {0 Nacpi!ACPIEcInternalControl

4 B) g" L) @! H
; |4 T2 D  f- z( s2 V9 H! t: Iacpi!AcpiEmbeddedControllerIrpDispatch

- h( i; \1 J, ~' {7 [) T( d; D$ v
* q' R$ s" c8 bacpi!ACPIIrpDispatchDeviceControl
" J8 _8 U, u$ B( |6 m# v; r
, P' D8 O, O6 Z( A- w
acpi!WmiSystemControl

) U* h; P5 c1 \! b
! B2 j9 K" T' C4 {/ x这些函数都被设置的断点,下面就我们读写一个class试试看了,图7证实了我之前的所说绝非空口无凭,我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手,当然后续还会有别的一些动作,但是上述行为就足以支撑我的论点了J
5 b, X' N3 [9 {# U
$ K  n0 T; j8 a' ?+ [4 ]
6 e5 [8 ]# j/ \4 u/ G8 ~3 U
- |) \( _/ H" o( K9 [5 }, Z: f% l
wmiacpi7.JPG
7 D- k  }6 ]5 k- q1 u' H
7
# T; C6 ^+ z  E* o+ ~
8演示了我们发一个event的状况,图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。
4 i+ h. h( _# V

# W# }! N4 ~; ^" ~8 F7 ]: k4 o0 f; M1 H$ b/ \* }% L
wmiacpi8.JPG
" S( W9 N0 ^8 ^+ i( v% O6 Z
8
; ?, j% ?* N1 a$ R' n
以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了,再附上一幅我的debug环境J3 t  i* p( C# K8 E7 B+ e' d
( q: b1 T/ U  |
0 W$ W+ Y' X, y0 M0 q8 o
wmiacpiA.JPG
$ d; x8 F, s# N6 c; R' I
9

- K! b' R" N0 W- n9 A' b5 }That’s all!
1 Y; T$ i6 [  W/ m) R: N% {Peter ( b& q. {' i4 t, L) ?
/ Z9 M5 S/ F) Y. f3 n) a/ ?: [5 \
[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ]
发表于 2009-5-22 20:27:37 | 显示全部楼层
兄弟说的很详细。" ^( T- D9 }1 Y. @  P
但最终的实现是不是采用MS的那个AP: a: D' g- c& S5 R6 ^
动态生成VBS脚本,然后执行2 |" n- i" V7 J/ r; V& f/ J' L
上面Debug中那些内核函数,兄弟你不会是自己做申明吧?) V9 t; T  U! `9 m) V2 j
刚才骑车时仔细想了一下,觉得用那动态生成脚本是最方便的。
, R* q% G) y0 C如果用COM来访问,我试了去调用,结果总是不能执行。
回复

使用道具 举报

 楼主| 发表于 2009-5-23 11:13:23 | 显示全部楼层
那些内核函数是微软的symbol,怎么可能是我声明的呢?
) e6 d6 Q1 X5 x3 ^0 R使用COM API访问绝对可以,请看这里http://blog.csdn.net/hgf1011/archive/2009/04/14/4073457.aspx: ^( Z$ G8 a) L
这是我写的一个tool,使用COM访问.
回复

使用道具 举报

发表于 2009-5-24 10:39:03 | 显示全部楼层
可以了,附件为C++写的一个执行WMI的程序,可以执行ASL代码了。
: b% F; y) f! ^$ h7 X2 g- `7 k以前不能执行是我把namespace给弄错了。$ F: f- r1 c5 V" i/ |; P- D8 m
谢谢各位。

Using WMI.rar

1.08 KB, 下载次数: 1323

回复

使用道具 举报

发表于 2009-7-30 16:05:21 | 显示全部楼层
刚开始学习acpi,收藏了,谢谢!
回复

使用道具 举报

发表于 2009-8-11 11:25:53 | 显示全部楼层
看了楼主的文章,有两点实在不是很清楚,望楼主指教:
. i& g: l0 A+ ?1  该怎么把asl文件刷到BIOS中,是否需要BIOS的源代码,还需要其他的工具么?如果没有BIOS的源代码,我是否可以用ACPISCOPE刷到BIOS里面?但是这又引出一个问题,我不知道该把这段ASL放在DSDT表格的什么地方?
8 O' U  m( e* w" `0 u. z. w2  我在其他的地方找到一般都是把acpimof.dll注册在HKLM\System\CurrentControlSet\Services\WmiAcpi里面," b0 |+ P) v/ p7 c, [+ x
我在xp上试验的,我的机器里面没有WmiAcpi这一项,是否我需要自己新创建这一项,然后把它加入?$ L7 b! d" M2 d( p' v* d3 y5 O
不好意思,我刚接触这个,很多都不是很清楚,自己在网上找了好长时间都没有搞清楚,所以只有麻烦楼主了。
; r/ V4 E% R9 \3 \; O先谢了!
回复

使用道具 举报

发表于 2009-8-11 14:10:43 | 显示全部楼层
关于第一个问题,我用iasl  device.asl编译没有通过,出现了一个错误:
1 D2 e/ w* b1 t( W+ w, I, lError    4095 -                    ^ parse error, expecting `error' or `PARSEOP_DEFINITIONBLOCK'# K* L/ ?7 a  b" O
但是这个device.asl就是DDK自带的。0 i6 Z, c" r: W  d
第二个问题我直接在cmd里面执行的时候也出现了一个错误:“已加载 acpimof.dll,但没有找到DllRegisterServer输入点,无法注册这个文件。”
1 N% ^' O1 Y" C& Z8 [2 k8 p; N我在网上下载了一个wmiacpi.sys,请问我可以自己修改注册表,然后将这个驱动加载到系统中么?/ S. H9 T! f0 _& a1 S
好迷糊。。。
, ~$ P9 O) s) ~! t) `' u
' h$ m, Y- }$ E/ u[ 本帖最后由 go_ahead 于 2009-8-11 16:48 编辑 ]
回复

使用道具 举报

 楼主| 发表于 2009-8-11 22:03:52 | 显示全部楼层
to go_ahead:& \( p! s- }' V$ t
使用DDK build wmiacpi code.
8 {  l) c$ l6 k) A2 j4 Lasl code要包在BIOS code中,所以需要BIOS的源代碼。
& `, t( w- s- v& I& a! J% Z5 x6 |1 h沒有Wmiacpi選項就自己創建一個。
回复

使用道具 举报

发表于 2009-8-12 09:31:51 | 显示全部楼层
原帖由 peterhu 于 2009-8-11 22:03 发表 & O0 }9 t3 r2 `
to go_ahead:, |6 |3 `# F7 o# b- q# h
使用DDK build wmiacpi code.9 e, k3 N: {" I# X
asl code要包在BIOS code中,所以需要BIOS的源代碼。
- t; P5 f; \* U6 X沒有Wmiacpi選項就自己創建一個。

, \" Z; {' B: P. t2 j8 w! q3 m
/ D" N* N$ F1 B. U0 a4 |9 `1 Q& ?谢谢peterhu,今天看到了注册表出现了wmiacpi项了,而且查看acpiscope看到了添加进去的内容了。) L$ s* A7 }4 _/ c
但是还是不知道该怎么把dll加入注册表, 今天我再试试也许就出来了
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 加入计匠网

本版积分规则

Archiver|手机版|小黑屋|计匠网

GMT+8, 2026-8-11 16:59 , Processed in 0.209526 second(s), 19 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表