今天和夜月兄討論了一下在windows nt/2000/xp下如何讀取bios信息，現在把結果向大家匯報一下。
大家都知道，windows接管了對物理內存的直接存取，而bios信息存在物理內存的f000:0000處，關鍵就是如何讀取物理內存。
查閱了msdn的文章後，發現以下有幾個函數和物理內存訪問有關：
NTSTATUS ZwOpenSection(OUT PHANDLE SectionHandle, IN ACCESS_MASK DesiredAccess,IN POBJECT_ATTRIBUTES ObjectAttributes);
NTSTATUS ZwMapViewOfSection(IN HANDLE SectionHandle,
IN HANDLE ProcessHandle,
IN OUT PVOID *BaseAddress,
IN ULONG ZeroBits,
IN ULONG CommitSize,
IN OUT PLARGE_INTEGER SectionOffset OPTIONAL,
IN OUT PSIZE_T ViewSize,
IN SECTION_INHERIT InheritDisposition,
IN ULONG AllocationType,
IN ULONG Protect
);
NTSTATUS ZwUnmapViewOfSection(IN HANDLE ProcessHandle,IN PVOID BaseAddress);用到的結構定義如下
typedef struct _UNICODE_STRING {
USHORT Length;//長度
USHORT MaximumLength;//最大長度
PWSTR Buffer;//緩存指針，訪問物理內存時，此處指向UNICODE字符串"\device\physicalmemory"
} UNICODE_STRING,*PUNICODE_STRING;
typedef struct _OBJECT_ATTRIBUTES {
ULONG Length;//長度 18h
HANDLE RootDirectory;// 00000000
PUNICODE_STRING ObjectName;//指向對象名的指針
ULONG Attributes;//對象屬性00000040h
PVOID SecurityDescriptor; // Points to type SECURITY_DESCRIPTOR，0
PVOID SecurityQualityOfService; // Points to type SECURITY_QUALITY_OF_SERVICE，0
} OBJECT_ATTRIBUTES;
typedef OBJECT_ATTRIBUTES *POBJECT_ATTRIBUTES;函數說明
第一個函數ZwOpenSection用來打開section，第一個參數是指向HANDLE變量的指針，第二個是訪問參數，第三個是指向OBJECT_ATTRIBUTES的指針
第二個函數ZwMapViewOfSection用來建立物理內存和當前進程的一段物理內存的聯系，參數很多，一會在例程裡再詳細解釋
第三個函數ZwUnmapViewOfSection用來斷開物理內存和當前進程中的映射斷開聯系，第一個參數是進程句柄，必須掉用第二個函數時一樣，第二
個是當前進程中映射的基址，由ZwMapViewOfSection返回
這三個函數都在ntdll.dll中，msdn裡的幫助說這幾個函數用在驅動編制上。
例程如下
//結構定義
typedef struct _UNICODE_STRING {
USHORT Length;//長度
USHORT MaximumLength;//最大長度
PWSTR Buffer;//緩存指針
} UNICODE_STRING,*PUNICODE_STRING;
typedef struct _OBJECT_ATTRIBUTES {
ULONG Length;//長度 18h
HANDLE RootDirectory;// 00000000
PUNICODE_STRING ObjectName;//指向對象名的指針
ULONG Attributes;//對象屬性00000040h
PVOID SecurityDescriptor; // Points to type SECURITY_DESCRIPTOR，0
PVOID SecurityQualityOfService; // Points to type SECURITY_QUALITY_OF_SERVICE，0
} OBJECT_ATTRIBUTES;
typedef OBJECT_ATTRIBUTES *POBJECT_ATTRIBUTES;
//函數指針變量類型生命
typedef DWORD (__stdcall *ZWOS)(PHANDLE,ACCESS_MASK,POBJECT_ATTRIBUTES);
typedef DWORD (__stdcall *ZWMV)(HANDLE,HANDLE,PVOID,ULONG,ULONG,PLARGE_INTEGER,PSIZE_T,DWORD,ULONG,ULONG);
typedef DWORD (__stdcall *ZWUMV)(HANDLE,PVOID);
//以上在程序開始定義全局變量處定義
//以下在程序的主函數裡
//變量聲明
UNICODE_STRING struniph;
OBJECT_ATTRIBUTES obj_ar;
ZWOS ZWopenS;
ZWMV ZWmapV;
ZWUMV ZWunmapV;
HANDLE hSection;
DWORD ba;
LARGE_INTEGER so;
SIZE_T ssize;
so.LowPart=0x000f0000;//物理內存的基址，就是f000:0000
so.HighPart=0x00000000;
ssize=0xffff;
wchar_t strPH[30]=L"\\device\\physicalmemory";
//變量初始化
ba=0;//聯系後的基址將在這裡返回
struniph.Buffer=strPH;
struniph.Length=0x2c;//注意大小是按字節算
struniph.MaximumLength =0x2e;//也是字節
obj_ar.Attributes =64;//屬性
obj_ar.Length =24;//OBJECT_ATTRIBUTES類型的長度
obj_ar.ObjectName=&struniph;//指向對象的指針
obj_ar.RootDirectory=0;
obj_ar.SecurityDescriptor=0;
obj_ar.SecurityQualityOfService =0;
//讀入ntdll.dll,得到函數地址
hinstLib = LoadLibrary("ntdll.dll");
ZWopenS=(ZWOS)GetProcAddress(hinstLib,"ZwOpenSection");
ZWmapV=(ZWMV)GetProcAddress(hinstLib,"ZwMapViewOfSection");
ZWunmapV=(ZWUMV)GetProcAddress(hinstLib,"ZwUnmapViewOfSection");
//調用函數，對物理內存進行映射
ZWopenS(&hSection,4,&obj_ar);
ZWmapV(
(HANDLE)hSection, //打開Section時得到的句柄
(HANDLE)0xffffffff, //將要映射進程的句柄，
&ba, //映射的基址
0, //沒怎麼看明白,設為0就好了
0xffff, //分配的大小
&so, //物理內存的地址
&ssize, //指向讀取內存塊大小的指針
1, //子進程的可繼承性設定
0, //分配類型
2 //保護類型
);
//執行後會在當前進程的空間開辟一段64k的空間，並把f000:0000到f000:ffff處的內容映射到這裡
//映射的基址由ba返回,如果映射不在有用,應該用ZwUnmapViewOfSection斷開映射BTW:
思路主要是來之上次跟蹤的聯想的安裝驗證程序,真的要感謝聯想的技術人員了:-)。
本文示例代碼或素材下載
