关于拦截“通过WMI读取硬件序列号”的一些心得

li00020

        大家都知道，WMI（Windows Management Instrumentation,Windows 管理规范）是一项核心的 Windows 管理技术；用户可以使用 WMI 管理本地和远程计算机，在这里只讨论它的硬件信息管理功能。

      所有硬件设备的信息要能被WMI收集，其编写的驱动程序必须符合WMI规范，即WMI相当于这些硬件信息的管理员。通过IRPTrace这个工具可以很方便看到，当ring3有读取硬件序列号的动作，传到ring0层是这样：WMIDataDevice内核设备会收到一个名叫IRP_MJ_SYSTEM_CONTROL的通知，当然该通知还会附加着一个类似于IRP_MN_QUERY_ALL_DATA的通知。只要有一定驱动编程基础的人都知道，该通知会层层传递下去，得到结果后返回上来。

      所以，我的拦截思路很简单，编写一个过滤驱动设备，附载在WMIDataDevice内核设备上，我的过滤驱动只对IRP_MJ_SYSTEM_CONTROL进行过滤：

1. NTSTATUS DriverEntry(IN PDRIVER_OBJECT  DriverObject, IN PUNICODE_STRING RegistryPath)
   
2. {
   
3. .................
   
4.      for (i = 0; i < IRP_MJ_MAXIMUM_FUNCTION; i++) {
   
5.         DriverObject->MajorFunction[i] = LS2capDispatchGeneral;
   
6.     }
   
7. 
   
8.     // Our read function is where we do our real work.
   
9.     DriverObject->MajorFunction[IRP_MJ_SYSTEM_CONTROL] = LS2DispatchSystemControl;
   
10.     return LS2capInit( DriverObject );
    
11. }

复制代码

然后再设置完成例程，目的是等该通知取到序列号后可以拦截并任意修改序列号。
主要就是编写

1. NTSTATUS  LS2DispatchSystemControl(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
   
2. {
   
3. ....
   
4. }

复制代码

例程。
代码如下：

1. NTSTATUS  LS2DispatchSystemControl(IN PDEVICE_OBJECT DeviceObject,IN PIRP Irp)
   
2. {
   
3.     //PAGED_CODE();
   
4.     PIO_STACK_LOCATION  currentIrpStack;
   
5.     PIO_STACK_LOCATION  nextIrpStack;
   
6.         NTSTATUS status ;
   
7.     PDEVICE_EXTENSION   devExt;
   
8.     UCHAR minorFunc;
   
9.     PIO_STACK_LOCATION        IrpSp;
   
10.         char teststr2[34]="IRP_MN_QUERY_ALL_DATA";
    
11.         char teststr3[34]="IRP_MN_QUERY_SINGLE_INSTANCE";
    
12.         char teststr0[34]="NOTHING";
    
13.     IrpSp = IoGetCurrentIrpStackLocation( Irp );
    
14.         devExt = (PDEVICE_EXTENSION) DeviceObject->DeviceExtension;
    
15.         status = STATUS_SUCCESS ;
    
16. 
    
17.     minorFunc = IrpSp->MinorFunction;
    
18.         switch(minorFunc)
    
19.         {
    
20.         case IRP_MN_QUERY_ALL_DATA:
    
21.                 devExt->controlcode=2;
    
22.                 currentIrpStack = IoGetCurrentIrpStackLocation(Irp);
    
23.         nextIrpStack = IoGetNextIrpStackLocation(Irp);   
    
24.         *nextIrpStack = *currentIrpStack;
    
25.         IoSetCompletionRoutine( Irp, Ctrl2capWMIComplete,
    
26.                                 DeviceObject, TRUE, TRUE, TRUE );
    
27. 
    
28.             WriteFileTest(teststr2,34);
    
29.                 break;
    
30.         case IRP_MN_QUERY_SINGLE_INSTANCE:
    
31.                 devExt->controlcode=3;
    
32.                 currentIrpStack = IoGetCurrentIrpStackLocation(Irp);
    
33.         nextIrpStack = IoGetNextIrpStackLocation(Irp);   
    
34.         *nextIrpStack = *currentIrpStack;
    
35.         IoSetCompletionRoutine( Irp, Ctrl2capWMIComplete,
    
36.                                 DeviceObject, TRUE, TRUE, TRUE );
    
37. 
    
38.             WriteFileTest(teststr3,34);
    
39.                 break;
    
40.         case IRP_MN_REGINFO:
    
41.         case IRP_MN_REGINFO_EX:
    
42.         case IRP_MN_CHANGE_SINGLE_INSTANCE:
    
43.         case IRP_MN_CHANGE_SINGLE_ITEM:
    
44.         case IRP_MN_EXECUTE_METHOD:
    
45.         case IRP_MN_DISABLE_EVENTS:
    
46.         case IRP_MN_ENABLE_COLLECTION:
    
47.         case IRP_MN_DISABLE_COLLECTION:
    
48.         case IRP_MN_ENABLE_EVENTS:
    
49.         default:
    
50.        #if WIN2K
    
51.            IoSkipCurrentIrpStackLocation(Irp);
    
52.        #else // WIN2K
    
53.        //
    
54.        // This is the equivalent of the IoSkipCurrentIrpStackLocation macro,
    
55.        // which doesn't exist in the NT 4 DDK.
    
56.        //
    
57.            Irp->CurrentLocation++;
    
58.            Irp->Tail.Overlay.CurrentStackLocation++;
    
59.        #endif // WIN2K
    
60.                    WriteFileTest(teststr0,34);
    
61.            return IoCallDriver(((PDEVICE_EXTENSION) DeviceObject->DeviceExtension)->TopOfStack, Irp);
    
62.                    break;
    
63.         }
    
64.         // 完成IRP
    
65.         /*
    
66.         Irp->IoStatus.Status = status;
    
67.         Irp->IoStatus.Information = 0;                           // bytes xfered
    
68.         IoCompleteRequest( Irp, IO_NO_INCREMENT );             //结束IRP请求，即不再往下传递
    
69. 
    
70.     return status;
    
71.     */
    
72.         return IoCallDriver( devExt->TopOfStack, Irp );
    
73. }

复制代码

为了方便检测是否过滤成功，可以创建一个文本文件，并往里写入标记。本人已实现对硬盘，主板，MAC地址等读取拦截。主要思路和代码就是这些，请各位多多指教。

深白海豚

很强悍了，驱动级拦截，一劳永逸的做法，
我也想这样做，就是写驱容易蓝屏，这个头痛得很
LZ有没有好的方法，防止蓝屏的

li00020

调试驱动程序是不可避免蓝屏的，但是可以减少：
1，在Ring0级下读写内存时应格外小心，可以在读写一段内存前对其进行读写检测；
2，尽量不要在实体主机上进行调试，建议构建WinDbg+虚拟机平台，我习惯利用WinDbg+VMWare进行驱动调试。

swatlt

感谢分享学习到了