探索Windows S3唤醒函数 (二)

最新推荐文章于 2025-03-04 11:00:00 发布

Eugene800

最新推荐文章于 2025-03-04 11:00:00 发布

阅读量771

点赞数

CC 4.0 BY-SA版权

分类专栏：调试

本文链接：https://blog.youkuaiyun.com/lixiangminghate/article/details/105508855

调试专栏收录该内容

122 篇文章

订阅专栏

本文深入探讨了HalpWakeVector与HalpLowStubPhysicalAddress在OSS3上下文切换中的关键作用。HalpWakeVector作为开启OSS3的钥匙，在HalpSetupRealModeResume函数中被用于存储HalpLowStubPhysicalAddress的值。HalpLowStubPhysicalAddress则在OS初始化阶段由HalpSetupAcpiPhase0函数通过HalpAllocPhysicalMemory分配物理页面并初始化。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

在前面一篇文章中，已经定位到了变量HalpWakeVector，我也说过这是开启OS S3大门的钥匙，那这篇文章就应该是登堂入室了。

1.从HalpWakeVector过度到HalpLowStubPhysicalAddress：

hal模块对HalpWakeVector的引用不多，只有4处：

但是现阶段只用到HalpSetupRealModeResume函数。

.text:00000001C003D320 HalpSetupRealModeResume proc near       ; CODE XREF: HaliAcpiSleep+139↑p
.text:00000001C003D320                                         ; DATA XREF: .pdata:00000001C0054240↓o
.text:00000001C003D320
.text:00000001C003D320 arg_0           = qword ptr  8
.text:00000001C003D320
.text:00000001C003D320                 mov     [rsp+arg_0], rcx
.text:00000001C003D325                 sub     rsp, 28h
.text:00000001C003D329                 mov     rax, cs:HalpWakeVector
.text:00000001C003D330                 test    rax, rax
.text:00000001C003D333                 jnz     short loc_1C003D336
.text:00000001C003D335                 int     3               ; Trap to Debugger
.text:00000001C003D336
.text:00000001C003D336 loc_1C003D336:                          ; CODE XREF: HalpSetupRealModeResume+13↑j
.text:00000001C003D336                 mov     [rax], edx      ; store HalpLowStubPhysicalAddress to HalpWakeVector

HalpSetupRealModeResume入口处先获得HalpWakeVector的地址，如果地址非空，则向其中写入HaliAcpiSleep调用HalpSetupRealModeResume时传入的参数edx。跳转到HaliAcpiSleep，将看到如下代码段：

.text:00000001C003C963                 mov     edx, dword ptr cs:HalpLowStubPhysicalAddress
.text:00000001C003C969                 call    HalpSetupRealModeResume
.text:00000001C003C96E                 test    al, al
.text:00000001C003C970                 jnz     loc_1C003CCA2

HaliAcpiSleep传入的值是HalpLowStubPhysicalAddress。

2.Hal对HalpLowStubPhysicalAddress的引用：

查找Hal模块对HalpLowStubPhysicalAddress的引用：

在xrefs窗口会看到一些熟悉的字眼，比如SetupAcpiPhase0。记得Windows启动过程也分Phase0/Phase1两个阶段，所以，我猜想下面的w xrefs（注意是Write引用）是在OS初始化阶段，对HalpLowStubPhysicalAddress进行初始化：

Down	w	HalpSetupAcpiPhase0+EC	mov     cs:HalpLowStubPhysicalAddress, rax

跳转到HalpSetupAcpiPhase0+0xEC处果真如此，它调用HalpAllocPhysicalMemory分配物理页面并将返回值写入HalpLowStubPhysicalAddress：

INIT:00000001C0071E1B                 mov     edx, 100000h
INIT:00000001C0071E20                 mov     rcx, rbx
INIT:00000001C0071E23                 call    HalpAllocPhysicalMemory
INIT:00000001C0071E28                 mov     cs:HalpLowStubPhysicalAddress, rax
INIT:00000001C0071E2F                 test    rax, rax
INIT:00000001C0071E32                 jz      short loc_1C0071E53

由此可见，双机调试时需要在HalpSetupAcpiPhase0函数上下断点，观察HalpLowStubPhysicalAddress的值是否和UEFI S3Resume时访问的Facs->XFirmwareWakingVector相同。下一篇就动手验证一下。