WMI技术介绍和应用——Instance/Method Provider

        在《WMI技术介绍和应用——事件通知》一文中，我们提到了提供者（Provider）这个概念。我们还是要引入WMI的结构图（转载请指明出于breaksoftware的csdn博客）

        我们在1这层的Native C/C++里可以看到若干Provider，这些Provider将各个实例或者事件信息通过WMI core传递到上层。微软对这块内容在MSDN上没有给出详细的例子，所以一开始摸索起来非常困难，以致我一度想放弃对其的研究。但是好在找到一本《Developing WMI Solutions》，该书非常详细讲解了WMI的一些书写规则，虽然该书的网站已经不再维护，其事例代码也找不到了。但是循着书中的讲解，我还是将其摸索出来，以供大家参考。

instance provider

        MSDN上说Virtual Studio的ATL模板里有WMI向导，并且推荐大家使用向导去生成WMI工程。需要注意的是，不是每个版本的VS都有这个向导，像我环境中的VS2015则没有，而VS2005则有。

        我们先创建一个名字为Test_Instance的ATL工程

        Server type选择Dynamic-link library (DLL)，其他不选，我们将生成Test_Instance和Test_InstancePS两个工程。Test_InstancePS工程我们不用关心，直接删除就行了。我们选中Test_Instance工程，右击并选择Add，添加一个class。在向导里我们可以看到ATL下有WMI相关模板

        Name字段还是填写Test_Instance，在Instance Provider的向导中，我们在short name项下填入我们需要实例化的类的名字TestClass

        在WMI Class项中，我们不做任何修改，使用默认的root空间，其实最终我们真实使用的是root\default。

        在Attribute项中，我们在Threading Model中选择Both，其他可选项都勾选上。

        通过向导的设定，我们的工程中新增了TestClass.cpp、TestClass.h和Test_Instance.mof三个文件。Test_Instance.mof是我们向WMI仓库注册使用的文件，其他则是我们的代码文件。

        向导已经帮我们在mof文件中生成了一大串内容。

#pragma autorecover#pragma namespace ("\\\\.\\root\\default")

class Win32_ProviderEx : __Win32Provider
{
	[Description ( "Hosting Model, provides compatibility with Windows XP and Windows Server .NET. Do not override." ) , Override("HostingModel")]
	string HostingModel = "NetworkServiceHost";
	[Description("..."),Override("SecurityDescriptor")] 
	string SecurityDescriptor; 
	UInt32 version = 1;
} ;

instance of Win32_ProviderEx as $TestClass
{
	Name    = "TestClass" ;	//Name is the key property for __Provider objects.
    									//vendor|provider|version is the suggested format
    									//to prevent name collisions.

	ClsId   = "{7F1C3BD1-7732-403F-844F-CC6ED9CA85FE}" ;	 //provider GUID

	DefaultMachineName = NULL;		 //NULL for local machine

	ClientLoadableCLSID = NULL;		 //reserved

	ImpersonationLevel = 0;			 //reserved

	InitializationReentrancy = 0;		//Set of flags that provide information about serialization:
										//0 = all initialization of this provider must be serialized
										//1 = all initializations of this provider in the same namespace must be serialized
										//2 = no initialization serialization is necessary

	InitializeAsAdminFirst = FALSE;		//Request to be fully initialized as "Admin" before 
										//initializations begin for users

	PerLocaleInitialization = FALSE;	//Indicates whether the provider is initialized for each 
										//locale if a user connects to the same namespace more 
										//than once using different locales.

	PerUserInitialization = FALSE;		//Indicates whether the provider is initialized once for each actual 
										//Windows NT/Windows 2000 NTLM user making requests of the provider. 
										//If set to FALSE, the provider is initialized once for all users

	Pure = TRUE;						//A pure provider exists only to service requests from 
										//applications and WMI. Most providers are pure providers.
										//Non-pure providers transition to the role of client after they have 
										//finished servicing requests. 


	UnloadTimeout = NULL;				//Currently ignored
										//Use __CacheControl class in the root namespace to control provider unloading.
										//A string in the DMTF date/time format that specifies how long WMI 
										//allows the provider to remain idle before it is unloaded.
									    

} ;    

instance of __InstanceProviderRegistration
{
	Provider = $TestClass;

	SupportsPut = "TRUE"; 
	SupportsGet = "TRUE"; 
	SupportsDelete = "TRUE"; 
	SupportsEnumeration = "TRUE"; 

	QuerySupportLevels = {"WQL:Associators","WQL:V1ProviderDefined","WQL:UnarySelect","WQL:References"};

};

instance of __MethodProviderRegistration
{
    Provider = $TestClass;
};

        这一长串内容详细大家可以参看MSDN，其中主要的是__InstanceProviderRegistration和__MethodProviderRegistration实例申明。instance of __InstanceProviderRegistration是说我们需要一个Instance类型Provider的注册实例，instance of __MethodProviderRegistration是说我们需要一个Method类型Provider的注册实例。它们的Provider都是我们之前使用instance of Win32_ProviderEx as $TestClass申明的实例。前者用于实例方面的使用，比如获取对象、删除对象、查询信息等；后者用于方法方面的使用，比如我们之前说的Win32_Process的Create方法创建进程。

        我们先修改mof文件，我们在文件末尾新增如下内容

[
dynamic : ToInstance, 
provider("TestClass") : ToInstance, // uses the TestClass Provider
ClassContext("whatever!"),          // information is dynamically
                                    // supported by the provider
DisplayName("ClassInstance"): ToInstance
]                                    

class ClassInstance 
{
[key]
string name = "CIN";
[PropertyContext("ClassInstance_Member")]
string value = "CIV";
};

        其中非常重要的是provider字段填写，它就是指向我们之前申明的provider。然后我们申明了一个ClassInstance的类，其有一个Key属性的变量name，还有一个普通类型变量value。

        我们在到TestClass.cpp中修改相关内容。首先我们需要将类名定义为我们在mof文件中定义的类名

//TODO: define provided class name, e.g.:
const static WCHAR * s_pMyClassName = L"ClassInstance"; 

        为了支持WQL查询，我们需要修改ExecQueryAsync方法，我们在其方法中新增如下逻辑

    CComPtr<IWbemClassObject> sp_object;
    CComPtr<IWbemClassObject> pNewInst;
    hr = m_pClass->SpawnInstance(0, &pNewInst);
    if (FAILED(hr)) { 
        return WBEM_E_INVALID_CLASS;
    }
    sp_object = pNewInst;
    CComVariant value;
    value.vt = VT_BSTR;
    value.bstrVal = CComBSTR("notepad.exe");
    sp_object->Put(L"name", 0, &value, 0);
    sp_object->Put(L"value", 0, &value, 0);
    hr = pResponseHandler->Indicate(1, &sp_object.p);
    hr = pResponseHandler->SetStatus(0, WBEM_S_NO_ERROR, NULL, NULL);

        这段逻辑，我们通过SpawnInstance创建了mof定义的类的实例。然后通过Put方法，我们设置了其name和value变量的值。

        代码修改好后，我们编译工程。工程编译中，会对mof文件进行检查和注册。我们还可以手工使用Mofcomp工具对mof文件进行注册。

        使用regsvr32注册编译出来的dll文件。这样我们的实例便可以查询了，使用之前工程中的方法

CSynQueryData recvnotify(L"root\\default", L"SELECT * FROM ClassInstance");
recvnotify.ExcuteFun();

        可以得到

method provider        

        我们再说说Method Provider。一个类的方法有静态和非静态之分，我们在mof里定义的类也是如此。我们对上例中的ClassInstance类新增两个方法

class ClassInstance 
{
[key]
string name = "CIN";
[PropertyContext("ClassInstance_Member")]
string value = "CIV";

[implemented]
void func();
[static, implemented]
void staticfunc();
};

        其中func方法是非静态方法，staticfunc是静态方法。和C++中定义类似，静态方法我们要使用类名+方法名调用；非静态方法要使用对象调用。在WMI Provider中，执行方法的函数是ExecMethodAsync，我们对其进行修改

    CComPtr<IWbemQualifierSet> pQualifierSet;
    hr = m_pClass->GetMethodQualifierSet(strMethodName, &pQualifierSet);
    if (SUCCEEDED(hr)) {
        hr = pQualifierSet->Get(L"static", 0, NULL, NULL);
        if (SUCCEEDED(hr)) {
            // static function. go on
        }
        else {
            CComPtr<IWbemClassObject> pInstance;
            hr = GetInstanceByPath(strObjectPath,&pInstance);
            if(FAILED(hr)) {
                // object is not existed
                return hr;
            }
            // object is existing. go on
        }
    }
    else{
        return hr;
    }

        这段代码，我们检测函数是否使用了static修饰。如果是，则它是静态方法，我们就不用做对象是否存在的检查；如果不是静态方法，我们就要对对象是否存在进行检查，如果对象不存在，我们则应该返回相应错误，否则继续执行。

        我想模拟Win32_Process的Create方法启动一个进程。我尝试了CreateProcess、ShellExcute等方法，均不成功。后来逆向了一下Win32_Process所以在的dll文件，发现其中启动进程是使用CreateProcessAsUser，且在此之前做了很多和用户有关的操作。为了简便，我们可以这样书写

    HANDLE TokenHandle = NULL;
    OpenThreadToken(GetCurrentThread(), TOKEN_QUERY | TOKEN_DUPLICATE | TOKEN_ASSIGN_PRIMARY, 1, &TokenHandle);

    STARTUPINFO StartupInfo;
    memset(&StartupInfo, 0 , sizeof(StartupInfo));
    StartupInfo.wShowWindow = SW_SHOWNORMAL;

    PROCESS_INFORMATION ProcessInformation;
    memset(&ProcessInformation, 0, sizeof(ProcessInformation));

    BOOL bRet = CreateProcessAsUser( 
        TokenHandle ,
        L"C:\\windows\\notepad.exe",
        NULL ,     
        NULL,
        NULL,
        FALSE , 
        NORMAL_PRIORITY_CLASS | CREATE_BREAKAWAY_FROM_JOB ,
        NULL,
        NULL,
        &StartupInfo,
        &ProcessInformation);

        该过程我们获取的权限和我们启动查询的进程中的线程相同。这样我们便将notepad启动起来。

        我们对static方法的调用是这样的

    CExcuteMethod* excute_method = NULL;
    {
        ParamsMap params;

        excute_method = new CExcuteMethod(L"root\\default", L"ClassInstance", L"", L"staticfunc", L"", params);
        excute_method->ExcuteFun();
    }
    delete excute_method;

        对非static方法的调用，我们则要传入实例名

    CExcuteMethod* excute_method = NULL;
    {
        ParamsMap params;

        excute_method = new CExcuteMethod(L"root\\default", L"ClassInstance", L"ClassInstance.name='notepad.exe'", L"staticfunc", L"", params);
        excute_method->ExcuteFun();
    }
    delete excute_method;

        工程链接：http://pan.baidu.com/s/1geucuKb 密码：pcwl