【文章內(nèi)容簡(jiǎn)介】 序在 16位保護(hù)模式、 V86模式以及 32位保護(hù)模式下調(diào)用， VxD服務(wù)則只供其它 VxD使用；用戶(hù)開(kāi)發(fā)的 VxD可提供任意上述服務(wù)。除此之外，應(yīng)用程序還可通過(guò)調(diào)用 API函數(shù)DeviceIoContro1與支持 IOCTL接口的 VxD進(jìn)行通信，執(zhí)行 Win32API不支持的系統(tǒng)低級(jí)操作。 2 Vxd 消息處理 VxD的操作基于寄存器，所以一般用匯編語(yǔ)言編寫(xiě)，它的關(guān)鍵部分是一個(gè)和普通窗口的消息處理過(guò)程 WndProc相類(lèi)似的控制過(guò)程，不同之處在于它的處理對(duì)象是系統(tǒng)發(fā)來(lái)的控制消息。這些消息共 51種，在 VxD自加載至卸出整個(gè)生命周期內(nèi)，操作系統(tǒng)不斷向它發(fā)送各種控制消息， vxD根據(jù)自己的 需要選擇處理，其余的忽略。系統(tǒng)向 VxD發(fā)送控制消息時(shí)將消息代號(hào)放在 EBX寄存器中，并在 EBx寄存器中放系統(tǒng)虛擬機(jī) (VM)句柄。 對(duì)動(dòng)態(tài) VxD來(lái)說(shuō)，最重要的消息有三個(gè)： SYS_DYNAMIC_DEVICE_INIT、SYS_DYNAMIC_DEVICE_EXIT以及 W32_DEVICEIOCONTROL，消息代號(hào)分別是 lBh、lCh、 23h。當(dāng) VxD被動(dòng)態(tài)加載至內(nèi)存時(shí)，系統(tǒng)向其發(fā)送 SYS_DYNAMIC_DEVICE_INIT消息， VxD應(yīng)在此時(shí)完成初始化設(shè)置并建立必要的數(shù)據(jù)結(jié)構(gòu)。當(dāng) VxD將被卸出內(nèi)存時(shí)，系統(tǒng)向其發(fā)送 SYS_DYNAMIC_DEVICE_EXIT消息， VxD在收到后應(yīng)清除所作設(shè)置并釋放相關(guān)數(shù)據(jù)結(jié)構(gòu)；當(dāng)應(yīng)用程序調(diào)用 API函數(shù) DeviceIoControl與 VxD進(jìn)行通信時(shí)，系統(tǒng)向 VxD發(fā)送W32_DEVICEIOCONTROL消息，它是應(yīng)用程序和 VxD聯(lián)系的重要手段，此時(shí) ESI寄存器指向一個(gè) DIOCParams結(jié)構(gòu)， VxD從輸入緩沖區(qū)獲取應(yīng)用程序傳來(lái)的數(shù)據(jù)，相應(yīng)處理后將結(jié)果放在輸出緩沖區(qū)，回送給應(yīng)用程序，達(dá)到相互傳遞數(shù)據(jù)的目的。 (2) 在 Windows系統(tǒng)下編程序本來(lái)就是寫(xiě)消息處理程序與系統(tǒng)進(jìn)行通 信，所以掌握各個(gè)消息的含義對(duì)寫(xiě)程序非常有用。 在這個(gè)設(shè)計(jì)里面，主要是用到下面這個(gè)消息： W32_DEVICEIOCONTROL 該消息有針對(duì)性地傳給指定的 VXD 響應(yīng) Win32 應(yīng)用程序調(diào)用 CreateFile 或DeviceIoControl 函數(shù)。 CreateFile 函數(shù)的第一個(gè)參數(shù)必須為 \\.\ name，這里 name 表示 VXD的名字。這提供了一條從 Win32 應(yīng)用程序調(diào)用 VXD 提供的系統(tǒng)服務(wù)的很好途徑。 該消息的處理程序的原型為： DWORD OnW32DeviceIoControl (PIOCTLPARAMS p)。其參數(shù) p 指向一個(gè) IOCTLPARAMS 結(jié)構(gòu)的指針。 IOCTLPARAMS 的結(jié)構(gòu)具體信息如下所示。 Struct tagIOCTLParams { PCLIENT_STRUCT dioc_pcrs。 //指向客戶(hù)寄存器的指針 VMHANDLE dioc_hvm。 //虛擬機(jī)句柄 四川大學(xué)本科畢業(yè)論文 基于 win98 系統(tǒng)的數(shù)據(jù)采集開(kāi)發(fā) ６ DWORD dioc_VxdDDB。 //指向 VXD 的 DDB 結(jié)構(gòu) DWORD dioc_IOCtlCode。 //IO 控制指令 PVOID dioc_inBuf。 //指向輸入緩沖區(qū)的指針 DWORD dioc_cbInBuf。 //輸入緩沖區(qū)的大小 PVOID dioc_OutBuf。 //指向輸出緩沖區(qū)的指針 DWORD dioc_cbOutBuf。 //輸出緩沖區(qū)的大小 PDWORD dioc_bytesret。 //指向一個(gè)表示返回字節(jié)數(shù)的雙字 OVERLAPPED*dioc_ovrlp。 //指向一個(gè) OVERLAPPED結(jié)構(gòu) DWORD dioc_hDevice。 //設(shè)備句柄 DWORD dioc_ppdb。 }IOCTLPARAMS。 所有的 VXD 都應(yīng)該實(shí)現(xiàn)對(duì) pdioc_IOCtlCode = DIOC_OPEN 和DIOC_CLOSEHANDLE 這兩種情形的處理。而其他則根據(jù)用戶(hù)的要求在 VXD 中對(duì)應(yīng)應(yīng)用程序給出的 IO 控制指令進(jìn)行響應(yīng)處理。 3 Vxd 調(diào)用機(jī)制 應(yīng)用程序向 VxD發(fā)出 DeviceIoControl調(diào)用時(shí)． DeviceIoControl的第 2個(gè)參數(shù)用于指定進(jìn)行何種控制，控制過(guò)程從 DIOCParams結(jié)構(gòu) +0Ch處取得此控制碼再進(jìn)行相應(yīng)處理控制碼的代號(hào)和含義由應(yīng)用程序 和 VxD自行約定．系統(tǒng)預(yù)定義了 DIOC_GETVERSION(O)和DIOC_CLOSEHANDLE(1)兩個(gè)控制碼，當(dāng)應(yīng)用程序調(diào)用 AN函數(shù) CreateFile(”＼＼＼VxDNameJ??． )動(dòng)態(tài)加載 VxD時(shí)，系統(tǒng)首先向該 VxD的控制過(guò)程發(fā)送SYS_DYNAMIC_DEVICE_INIT控制消息，若 VxD返回成功，系統(tǒng)將再次向 VxD發(fā)送帶有控制碼 DIOC_OPEN(即 DIOC_GETVERSION，值為 O)的 W32_DEVICEIOCONTROL消息以決定此 VxD是否能夠支持設(shè)備 IOCTL接口， VxD必 須清零 EAX寄存器以表明文持 IOCTL接口．這時(shí) Createn[e將返回一個(gè)設(shè)備句柄 hDevice，通過(guò)它應(yīng)用程序才能使用 DeviceIoControl函數(shù)對(duì) VxD進(jìn)行控制。同一個(gè) VxD可用 CreateFile打開(kāi)多次，每次打開(kāi)時(shí)都會(huì)返回此 VxD的一個(gè)唯一句柄，但是系統(tǒng)內(nèi)存中只保留一份 VxD．系統(tǒng)為每個(gè) VxD維護(hù)一個(gè)引用計(jì)數(shù)，每打開(kāi)一次計(jì)數(shù)值加 l。當(dāng)應(yīng)用程序調(diào)用 API函數(shù) CloseHandle(hDevice)關(guān)閉 VxD句柄時(shí)， VxD將收到系統(tǒng)發(fā)來(lái)的帶控制碼 DIOC_CLOSEHANDLE的 W32_DEVICEIOCONTROL消息，同時(shí)該 VxD的引用計(jì)數(shù)減 l，當(dāng)最終引用計(jì)時(shí)， VxD將收到系統(tǒng)發(fā)來(lái)的帶控制碼DIOC_LOSEHANDLE的 W32_DEVICEIOCONTROL消息，同時(shí)該 VxD的引用計(jì)數(shù)減 l，當(dāng)最終引用計(jì)數(shù)為 0時(shí)，系統(tǒng)向 VxD發(fā)送控制消息 SYS_DYNAMIC_DEVICE_EXIT，然后將其從內(nèi)存中清除。在極少數(shù)情況下應(yīng)用程序也可調(diào)用 API函數(shù) DeleteFile(“＼＼．＼四川大學(xué)本科畢業(yè)論文 基于 win98 系統(tǒng)的數(shù)據(jù)采集開(kāi)發(fā) ７ VxDName”)，忽略引用計(jì)數(shù)的值直接將 VxD卸出內(nèi)存，這將可能給使用同一 VxD的其它應(yīng)用程序造成毀滅性影響，應(yīng)避免 使用。 (11) 第五節(jié) Vxd 常用開(kāi)發(fā)工具 微軟為驅(qū)動(dòng)程序的開(kāi)發(fā)提供了設(shè)備驅(qū)動(dòng)程序工具箱 (DDK)，基于匯編語(yǔ)言的編程方式和許多 VMM服務(wù)都使用寄存器的調(diào)用方式，確實(shí)非常難學(xué)，沒(méi)有深厚的匯編語(yǔ)言和硬件基礎(chǔ)很難在短時(shí)間里開(kāi)發(fā)出自己的 VxD。 美國(guó) Vireo softare公司推出的 VToolsD為我們開(kāi)發(fā) VxD提供了方便快捷的方法。程序員可利用 C或 C++編寫(xiě)自己的 VxD，而不必操心許多繁瑣的細(xì)節(jié)。它的基本編程方法是：用VTo01sD自帶的 QMtckVxD程序快速生成程序框架，在 VC++ Brland C++中打開(kāi)此框架的工程文件，并寫(xiě)進(jìn)特定的處理代碼，編譯后就可得到所需的 VxD文件。 第六節(jié) Vxd 技術(shù)的應(yīng)用 1 Vxd 的實(shí)用用途 由于 vxD可以虛擬根本不存在的硬件，因此可以利用 vxD虛擬硬件狗來(lái)破解一些軟件的加密保護(hù)。 VxD工作在操作系統(tǒng)的最底層，所以掌握它能使開(kāi)發(fā)者具備擴(kuò)展操作系統(tǒng)的能力，比如在 Windows 9x中截取按下的 Ctrl+Alt+Delete組合鍵．而后彈出的是自行設(shè)計(jì)的消息對(duì)話(huà)框，實(shí)現(xiàn)特殊的系統(tǒng)控制。 實(shí)時(shí)工業(yè)控制軟件的開(kāi)發(fā)，以前大都是基于 DOS操作系統(tǒng)，但是現(xiàn)在隨著 Windows 9x的普及，需要開(kāi)發(fā)送于 Windows 9x的工控軟件，利用 VxD的功能就可實(shí)現(xiàn) Windows下的實(shí)時(shí)工控。在很多情況下，這可以獲得比較滿(mǎn)意的實(shí)時(shí)效果。 通過(guò) VxD作中介，可使 DOS TSR、 Winl6應(yīng)用程序、 win32應(yīng)用程序之間產(chǎn)生協(xié)作，可打破 win32應(yīng)用程序 4GB獨(dú)立線(xiàn)性地址空間帶來(lái)的限制等。 2 基于 VxD 的實(shí)時(shí)反病毒技術(shù) 目前國(guó)內(nèi)的 Windows 9x平臺(tái)反病毒產(chǎn)品大多屬靜態(tài)反病毒軟件，指導(dǎo)思想是 “以殺為主 ”，這一方式的缺點(diǎn)是病毒在被清除之前可能早已造成了嚴(yán)重危害。一個(gè)好的反病毒軟件應(yīng)該 是 “以防為主，以殺為輔 ”，在病毒入侵時(shí)就把它清除掉，這就是實(shí)時(shí)反病毒技術(shù)。 windows 9x使用的是 Ring 0和 Ring 3兩個(gè)保護(hù)級(jí)。系統(tǒng)進(jìn)程運(yùn)行于 Ring0，因而具有對(duì)系統(tǒng)全部資源的訪(fǎng)問(wèn)權(quán)和管理權(quán)。而普通用戶(hù)進(jìn)程運(yùn)行于 Ring 3，只能訪(fǎng)問(wèn)自己的程序空間，不允許對(duì)系統(tǒng)資源進(jìn)行直接訪(fǎng)問(wèn)，許多操作受到限制。顯然這種普通用戶(hù)進(jìn)程是無(wú)法勝任實(shí)時(shí)反病毒工作的，必須使后臺(tái)監(jiān)視進(jìn)程運(yùn)行在 Ring 0優(yōu)先級(jí)，實(shí)現(xiàn)這一目的基礎(chǔ)就是 VxD技術(shù)。應(yīng)用程序通過(guò)使用動(dòng)態(tài)加載的 VxD，間接獲得了對(duì) Windows 9x系統(tǒng)的控制權(quán)，四川大學(xué)本科畢業(yè)論文 基于 win98 系統(tǒng)的數(shù)據(jù)采集開(kāi)發(fā) ８ 但要實(shí)現(xiàn)對(duì)系統(tǒng)中所有文件 I／ O操作的實(shí)時(shí)監(jiān)視，還要用到另一種關(guān)鍵技術(shù)——FileHooking，通過(guò)掛接一個(gè)處理函數(shù)，截獲所有與文件 I／ O操作有關(guān)的系統(tǒng)調(diào)用。Windows 9x使用 32位保護(hù)模式可安裝文件系統(tǒng) (IFS)，由可安裝文件系統(tǒng)管理器(IFSManager)協(xié)調(diào)對(duì)文件系統(tǒng)和設(shè)備的訪(fǎng)問(wèn)，它接收以 Win32 API函數(shù)調(diào)用形式向系統(tǒng)發(fā)出的文件 I／ O請(qǐng)求，再將請(qǐng)求轉(zhuǎn)給文件系統(tǒng)驅(qū)動(dòng)程序 FSD，由它調(diào)用低級(jí)別的 IOS系統(tǒng)實(shí)現(xiàn)最終訪(fǎng)問(wèn)。每個(gè)文件 I／ O API調(diào)用都有一個(gè)特定的 FSD函數(shù)與之對(duì)應(yīng)， IFSManager負(fù)責(zé)完成由 API到 FSD的參數(shù)裝配工作，在完成文件 I／ O API函數(shù)參數(shù)的裝配之后轉(zhuǎn)相應(yīng) FSD執(zhí)行之前，它會(huì)調(diào)用一個(gè)稱(chēng)為 FileSystemApiHookFunction的 Hooker函數(shù)。通過(guò)安裝自己的 Hooker函數(shù)，就可以截獲系統(tǒng)內(nèi)所有對(duì)文件 I／ O的 API調(diào)用，井適時(shí)對(duì)相關(guān)文件進(jìn)行病毒檢查，從而實(shí)現(xiàn)實(shí)時(shí)監(jiān)控。 (9) 第七節(jié) Vxd 的局限性 VxD技術(shù)只適用于 Windows 9x操作系統(tǒng) ， Windows NT不支持此項(xiàng)技術(shù) ， 而是采用更為先進(jìn)的面向?qū)ο蟮尿?qū)動(dòng)程序模型 ， 例如 Windows 20xx就采用了一種基于 NT的驅(qū)動(dòng)程序模型WDM。此外，由于 VxD運(yùn)行在 Ring 0上根本不受 Ring 3的制約，也給病毒的制造者即黑客以可乘之機(jī)，比如著名的 CIH病毒就是一個(gè) VxD。 第八節(jié) VXD 驅(qū)動(dòng)程序與 WDM 驅(qū)動(dòng)程序開(kāi)發(fā)的比較 1 VXD 與 WDM 的差異 VxD模式驅(qū)動(dòng)程序是在 DOS系統(tǒng)文件的基礎(chǔ)上發(fā)展起來(lái)的 ， 只是在 Windows 95／98(第一版 )等早期的 Windows操作系統(tǒng)中使用。由于 VXD模式驅(qū)動(dòng)程序要求開(kāi)發(fā)人員必須深入理解和掌握諸如 VMM(虛擬機(jī)管理器 )、 VNCD(虛 擬可編程終端控制器 )、 DMA(直接存儲(chǔ)器訪(fǎng)問(wèn) )、內(nèi)存管理等 Windows操作系統(tǒng)內(nèi)核的工作機(jī)制，開(kāi)發(fā)難度大，適應(yīng)性差，M1crosoft公司試著逐步拋棄它。在 Windows操作系統(tǒng)的較新版本，如 Windows 98SE／ME/20xx／ XP中，加入了 Plug and Play、 ACIP和 WMI等高級(jí)功能， WDM模式驅(qū)動(dòng)程序就是為了適應(yīng)這種變化而提出的。 VXD模式驅(qū)動(dòng)程序和 wDM驅(qū)動(dòng)程序的主要差異如下 : (1)支持的 Windows版本不同。 VXD模式驅(qū)動(dòng)程序支持 Windows ／ 95／ 98(第一版 )等 早期的 Windows版本， WDM模式驅(qū)動(dòng)程序支持 Windows 98SE／ ME／ 20xx／ XP等較新的windows版本。 (2)驅(qū)動(dòng)程序的入口點(diǎn)不同。所有的 WDM模式驅(qū)動(dòng)程序必須包含一個(gè) DriverEntry例程，PNP設(shè)備管理器通過(guò)在 WDM模式驅(qū)動(dòng)程序查詢(xún)?cè)摾虂?lái)對(duì)設(shè)備進(jìn)行諸如驅(qū)動(dòng)程序初始化，資源分配等工作。在 VXD模式驅(qū)動(dòng)程序中，初始化工作則沒(méi)有固定的位置，放在DIOC_OPEN系統(tǒng)消息或者用戶(hù)自己定義的消息中。 四川大學(xué)本科畢業(yè)論文