[原创]WMIACPI.SYS

peterhu

WMIACPI.SYS

( W) w2 G  W* p6 ?+ X1 ]1. WMI Concept

5 Z& O4 i. C  i- x: ^- JWMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。
6 V2 f+ ?- q: H6 ?' p& B
' l4 r) v$ v  g, [, _
. I  A  _" p9 k2. WMIACPI.SYS

Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：
5 l* ]. X* p7 I7 ^; HA．Acpi.sys
% N7 n1 P/ B4 q0 O- J) iB．Wmiacpi.sys
7 {3 u+ G$ i+ h3 A6 P! rA).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。
: {8 q# P; @0 P7 i) v/ ^$ y' QB).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：
% b% W5 }; ?6 x9 o% w
9 W9 z* P% N# N3 I7 W, L
/ M& a  j9 K9 l
当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。

' K2 T7 j: L. R* w4 _/ I3. Under the hood

. ?7 s6 T6 v5 J' u; G& O前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：
$ W; k4 M5 q3 g. ~7 h/ f! z9 @

! E1 l" I' ^! c7 G* v5 f

- ]* E: S. d9 B% }0 n4 D. v/ D4 a

图 2

1 U& l- h: B/ ]7 Q: f, i图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。

6 \) ^7 C) x. U+ ~

& l4 k! n& Y& V2 D7 _& Y% q# u9 v

图3

2 p5 H- K8 v, f6 W+ ^0 H0 Q由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。

图4

前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：
& s7 d$ c) n8 A+ @5 \+ Y
/ \4 G, V1 M3 F2 P

, ^$ h/ B+ F2 _' R/ W, p  f8 a- l

图5

经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示：

. j% y6 u! ]1 c0 y8 p9 L& |" V

图6

% E. u4 b# |; |9 M' S如图所示：

+ x( m- X3 C* ]* n3 Owmiacpi!WmiAcpiSetWmiDataItem

% q1 U+ \; h* W  m! Q* u2 r. D1 ]wmiacpi!WmiAcpiSetWmiDataBlock

wmiacpi!WmiFireEvent

( {; }; Y' r/ G  _wmiacpi!WmiAcpiQueryWmiDataBlock

" o, o  x5 s0 a. B) \' q8 K3 w: @! ^wmiacpi!WmiAcpiSendAsyncDownStreamIrp
3 q$ f& k  a! w4 G# R
& x- `8 O2 q' w5 B' Q0 Q, wwmiacpi!WmiSystemControl

# g' }( h3 ~) Cwmiacpi!WmiAcpiSystemControlDispatch

acpi!ACPIIoctlEvalControlMethod

  X' h' k. P' Y0 Y9 Macpi!ACPIIoctlAsyncEvalControlMethod

acpi!ACPIIoctlAsyncEvalControlMethodEx

0 b! v5 g4 W+ W; B4 g" r$ xacpi!ACPIIoctlEvalControlMethodEx
% M  y/ Q% ]+ R4 v* ~- B6 E4 m! `
- Z! g' o" `  H3 y* T5 \5 Uacpi!ACPIButtonDeviceControl
* c2 {. h2 H8 d$ m, M$ Z
acpi!ACPIEcInternalControl
& d) s* e; [- l: @3 l. X) p
acpi!AcpiEmbeddedControllerIrpDispatch

  M6 Q  X# `" r; macpi!ACPIIrpDispatchDeviceControl
% L6 r* p, r2 I
acpi!WmiSystemControl

这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。
% h& U# D  [+ {- b" f$ M) p0 N; N3 t
* ^6 N5 a5 M) Y7 [6 i9 S

) R5 B1 G: P! I* a* N" L

+ q( `; |* R' v0 `4 B9 G

图7
4 ^# w7 Y7 f! |

图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。
' M% C0 h% S0 K  B- M: x1 d

8 D+ b  E5 e% _7 K+ z7 k, S

图8

  X3 k* W; P6 m3 w4 N* l以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。

图9

That’s all!
: `7 a2 R! T! L9 j, XPeter
5 L- X$ q2 _. `9 d* E
[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ]

winbondowen

兄弟说的很详细。
但最终的实现是不是采用MS的那个AP
8 v) V# h+ Y  W! u动态生成VBS脚本，然后执行
上面Debug中那些内核函数，兄弟你不会是自己做申明吧？
刚才骑车时仔细想了一下，觉得用那动态生成脚本是最方便的。
9 {) U0 e3 O8 b" t# Z2 o5 L6 K如果用COM来访问，我试了去调用，结果总是不能执行。

peterhu

那些内核函数是微软的symbol,怎么可能是我声明的呢?
3 C( c4 ~9 T2 i# k7 y使用COM API访问绝对可以,请看这里http://blog.csdn.net/hgf1011/archive/2009/04/14/4073457.aspx
3 |& \' R/ U7 _0 t9 F# `这是我写的一个tool,使用COM访问.

winbondowen

可以了，附件为C++写的一个执行WMI的程序，可以执行ASL代码了。
$ W2 @+ S* k* |7 C以前不能执行是我把namespace给弄错了。
谢谢各位。

go_ahead

刚开始学习acpi，收藏了，谢谢！

go_ahead

看了楼主的文章，有两点实在不是很清楚,望楼主指教：
' T+ `% _  K; I4 v6 m+ u1  该怎么把asl文件刷到BIOS中，是否需要BIOS的源代码，还需要其他的工具么？如果没有BIOS的源代码，我是否可以用ACPISCOPE刷到BIOS里面？但是这又引出一个问题，我不知道该把这段ASL放在DSDT表格的什么地方？
2  我在其他的地方找到一般都是把acpimof.dll注册在HKLM\System\CurrentControlSet\Services\WmiAcpi里面，
" S( Z: q' d1 |7 ]0 X4 x  R我在xp上试验的，我的机器里面没有WmiAcpi这一项，是否我需要自己新创建这一项，然后把它加入？
不好意思，我刚接触这个，很多都不是很清楚，自己在网上找了好长时间都没有搞清楚，所以只有麻烦楼主了。
先谢了！

go_ahead

关于第一个问题，我用iasl  device.asl编译没有通过，出现了一个错误：
6 b( X. \7 F" u( s6 B. Z8 O; s' \Error    4095 -                    ^ parse error, expecting `error' or `PARSEOP_DEFINITIONBLOCK'
但是这个device.asl就是DDK自带的。
第二个问题我直接在cmd里面执行的时候也出现了一个错误：“已加载 acpimof.dll,但没有找到DllRegisterServer输入点，无法注册这个文件。”
我在网上下载了一个wmiacpi.sys，请问我可以自己修改注册表，然后将这个驱动加载到系统中么？
好迷糊。。。

  z* X! q# B& b' q# q$ x  U[ 本帖最后由 go_ahead 于 2009-8-11 16:48 编辑 ]

peterhu

to go_ahead:
' c: o! a+ _$ P9 M使用DDK build wmiacpi code.
8 T5 X) M4 R5 p9 E$ Lasl code要包在BIOS code中，所以需要BIOS的源代碼。
( E% g; j- w/ W6 m8 I沒有Wmiacpi選項就自己創建一個。

go_ahead

原帖由 peterhu 于 2009-8-11 22:03 发表
* _6 k' P6 E6 Q" wto go_ahead:
使用DDK build wmiacpi code.
* _, y% {' H: ~  y9 l" Y& Oasl code要包在BIOS code中，所以需要BIOS的源代碼。
3 j: ^/ A1 t# w7 C, j1 ^' _沒有Wmiacpi選項就自己創建一個。

% U$ d# M* d0 ]2 _5 X5 g* ~5 f, l谢谢peterhu，今天看到了注册表出现了wmiacpi项了，而且查看acpiscope看到了添加进去的内容了。
但是还是不知道该怎么把dll加入注册表， 今天我再试试也许就出来了