VC：VxD技术及其在实时反病毒中的应用
(11/03/1999)
目前国内的Windows9x平台反病毒产品大多属静态反病毒软件，指导思想是"以杀为主"，这一方式的缺点是病毒在被清除之前可能早已造成了严重危害一个好的反病毒软件应该是"以防为主，以杀为辅"，在病毒入侵时就把它清除掉，这就是实时反病毒技术。
----Windows9x使用IntelCPU的Ring0和Ring3两个保护级。系统进程运行于Ring0，因而具有对系统全部资源的访问权和管理权；而普通用户进程运行于Ring3，只能访问自己的程序空间，不允许对系统资源进行直接访问许多操作受到限制。显然这种普通用户进程是无法胜任实时反病毒工作的，必须使后台监视进程运行在Ring0优先级，实现这一目的基础就是VxD技术。
一、VxD技术的特点
----VxD即虚拟设备驱动程序，用作Windows9x系统和物理设备之间的接口。但它不仅适用于硬件设备，也适用于按VxD规范所编制的各种软件"设备"
----VxD技术的实质是：通过加载具有Ring0最高优先级的VxD，运行于Ring3上的应用程序能够以一定的接口控制VxD的动作，从而达到控制系统的目的。实时反病毒软件之所以要使用VxD技术，关键有二:(1)VxD拥有系统最高运
行权限(2)许多Windows9x系统底层功能只能在VxD中调用，应用程序如果要用必须编个VxD作为中介。VxD作为应用程序在系统中的一个代理，应用程序通过它来完成任何自己本身做不到的事情，通过这一手段，Windows9x系统为普通应用程序留下了扩充接口。很不幸，这一技术同样为病毒所利用，CIH病毒正是利用了VxD技术才得以驻留内存、传染执行文件、毁坏硬盘和FlashBIOS。
----Windows9x系统下有众多的VxD，每个VxD可提供4种服务，即PM(保护模式)API、V86(虚拟86)API、Win32服务和VxD服务，前3种分别供应用程序在16位保护模式、V86模式以及32位保护模式下调用，VxD服务则只供其他VxD使用用户开发的VxD可提供任意上述服务。除此之外，应用程序还可通过调用API函数DeviceIoControl与支持IOCTL接口的VxD进行通信，执行Win32API不支持的系统低级操作。
二、VxD技术的实现
----VxD的操作基于寄存器，所以一般用汇编语言编写，它的关键部分是一个和普通窗口的消息处理过程WndProc相类似的控制过程，不同之处在于它的处理对象是系统发来的控制消息。这些消息共51种，在VxD自加载至卸出整个生命周期内，操作系统不断向它发送各种控制消息，VxD根据自己的需要选择处理，其余的忽略。系统向VxD发送控制消息时将消息代号放在EAX寄存器中并在EBX寄存器中放系统虚拟机(VM)句柄。
----对动态VxD来说，最重要的消息有三个:SYS_DYNAMIC_DEVICE_INIT、SYS_DYNAMIC_DEVICE_EXIT以及W32_DEVICEIOCONTROL，消息代号分别是1Bh、1Ch、23h。当VxD被动态加载至内存时。
系统向其发送SYS_DYNAMIC_DEVICE_INIT消息，VxD应在此时完成初始化设置并建立必要的数据结构；当VxD将被卸出内存时，系统向其发送SYS_DYNAMIC_DEVICE_EXIT消息VxD在收到后应清除所作设置并释放相关数据结构；当应用程序调用API函数DeviceIoControl与VxD进行通信时，系统向VxD发送W32_DEVICEIOCONTROL消息，它是应用程序和VxD联系的重要手段，此时ESI寄存器指向一个DIOCParams结构，VxD从输入缓冲区获取应用程序传来数据，相应处理后将结果放在输出缓冲区回送应用程序，达到相互传递数据的目的。
----应用程序向VxD发出DeviceIoControl调用时，第2个参数用于指定进行何种控制，控制过程从DIOCParams结构＋0Ch处取得此控制码再进行相应处理控制码的代号和含义由应用程序和VxD自行约定，系统预定义了DIOC_GETVERSION（0）和DIOC_CLOSEHANDLE(－1)两个控制码，当应用程序调用API函数CreateFile(".VxDName",...)动态加载一VxD时，系统首先向该VxD的控制过程发送SYS_DYNAMIC_DEVICE_INIT控制消息，若VxD返回成功，系统将再次向VxD发送带有控制码DIOC_OPEN(即DIOC_GETVERSION，值为0)的W32_DEVICEIOCONTROL消息以决定此VxD是否能够支持设备IOCTL接口，VxD必须清零EAX寄存器以表明支持IOCTL接口，这时CreateFile将返回一个设备句柄hDevice，通过它应用程序才能使用DeviceIoControl函数对VxD进行控制。同一个VxD可用CreateFile打开多次，每次打开时都会返回此VxD的一个唯一句柄，但是系统内存中只保留一份VxD，系统为每个VxD维护一个引用计数，每打开一次计数值加1。当应用程序调用API函数CloseHandle(hDevice)关闭VxD句柄时，VxD将收到系统发来的带控制码DIOC_CLOSEHANDLEW32_DEVICEIOCONTROL消息，同时该VxD的引用计数减1，当最终引用计数为0时，系统向VxD发送控制消息SYS_DYNAMIC_DEVICE_EXIT，然后将其从内存中清除。在极少数情况下应用程序也可调用API函数DeleteFile(".VxDName")忽略引用计数的值直接将VxD卸出内存，这将给使用同一VxD的其他应用程序造成毁灭性影响，应避免使用。
--一个典型的VxD控制过程代码如下:
BeginProcVXD_Control
cmpeax，1Bh
;SYS_DYNAMIC_DEVICE_INIT消息
jzvxd_dynamic_init_handle
cmpeax，1Ch
;SYS_DYNAMIC_DEVICE_EXIT消息
jzvxd_dynamic_exit_handle
cmpeax，23h
;W32_DEVICEIOCONTROL消息
jnzexit_control_proc
movecx，［esi＋0Ch］
;从DIOCParams＋0Ch处取控制码
....
;处理控制码
EndProcVXD_Control
三、实时反病毒的关键技术-FileHooking
----应用程序通过使用动态加载的VxD，间接获得了对Windows9x系统的控制权，但要实现对系统中所有文件I/O操作的实时监视，还要用到另一种关键技术－FileHooking，通过挂接一个处理函数，截获所有与文件I/O操作有关的系
统调用。Windows9x使用32位保护模式可安装文件系统(IFS)，由可安装文件系统管理器(IFSManager)协调对文件系统和设备的访问，它接收以Win32API函数调用形式向系统发出的文件I/O请求，再将请求转给文件系统驱动程序FSD，由它调用低级别的IOS系统实现最终访问。每个文件I/OAPI调用都有一个特定的FSD函数与之对应，IFSManager负责完成由API到FSD的参数装配工作，在完成文件I/OAPI函数参数的装配之后转相应FSD执行之前，它会调用一个称为FileSystemApiHookFunction的Hooker函数。通过安装自己的Hooker函数，就可以截获系统内所有对文件I/O的API调用，并适时对相关文件进行病毒检查，从而实现实时监控。
----上述过程由用户VxD调用系统VxDIFSMgr提供的服务完成，该VxD提供了丰富的底层文件操作功能:IFSMgr_InstallSyatemApiHook函数用来安装FileSystemApiHookFunction，IFSMgr_RemoveSystemApiHook用来卸除Hooker，IFSMgr_Ring0_FileIO用来对文件和磁盘扇区进行读写访问等等。当由IFSManager转入SystemApiHookFunction时，带有6个参数:
FileSystemApiHookFunction(
pIFSFuncFSDFnAddr，
//对应FSD服务函数地址
intFunctionNum，
//与API对应的FSD服务功能号(详见下面)
intDrive，
//驱动器代号(1=A,2=B,3=C...)
intResourceFlags，
//资源标志(详见下面)
intCodePage，
//代码页(0=ANSI，1=OEM)
pioreqpir
//指向IOREQ结构的指针
)
----参数中比较重要的是FSD功能号、驱动器号和IOREQ结构指针3项。如需截获某个文件I/OAPI调用，只需在Hooker中对相应FSD功能号进行处理
----系统中可挂接多个Hooker，形成一条链。IFSMgr_InstallFileSystemApiHook安装Hooker成功时返回前一个Hooker地址，每个Hooker在做特定处理后总应调用前一个Hooker，最后安装的Hooker最先被调用。在VxD中调用其他VxD服务采用INT20h指令后跟一个双字的特殊格式，其中高字为被调用VxD的ID号(系统VxD的ID固定)，低字为该VxD之服务号，这一形式称为VxDcall，如:
int20h
dd00400043h
；VxDCallIFSMgr_InstallSystemApiHook
int20h
dd00400044h
；VxDCallIFSMgr_RemoveSystemApiHook
