探索Windows S3唤醒函数 (二)

在​​前面一篇文章​​中，已经定位到了变量HalpWakeVector，我也说过这是开启OS S3大门的钥匙，那这篇文章就应该是登堂入室了。

1.从HalpWakeVector过度到HalpLowStubPhysicalAddress：

hal模块对HalpWakeVector的引用不多，只有4处：

但是现阶段只用到HalpSetupRealModeResume函数。

.text:00000001C003D320 HalpSetupRealModeResume proc near       ; CODE XREF: HaliAcpiSleep+139↑p
.text:00000001C003D320                                         ; DATA XREF: .pdata:00000001C0054240↓o
.text:00000001C003D320
.text:00000001C003D320 arg_0           = qword ptr  8
.text:00000001C003D320
.text:00000001C003D320                 mov     [rsp+arg_0], rcx
.text:00000001C003D325                 sub     rsp, 28h
.text:00000001C003D329                 mov     rax, cs:HalpWakeVector
.text:00000001C003D330                 test    rax, rax
.text:00000001C003D333                 jnz     short loc_1C003D336
.text:00000001C003D335                 int     3               ; Trap to Debugger
.text:00000001C003D336
.text:00000001C003D336 loc_1C003D336:                          ; CODE XREF: HalpSetupRealModeResume+13↑j
.text:00000001C003D336                 mov     [rax], edx      ; store HalpLowStubPhysicalAddress to HalpWakeVector      

HalpSetupRealModeResume入口处先获得HalpWakeVector的地址，如果地址非空，则向其中写入HaliAcpiSleep调用HalpSetupRealModeResume时传入的参数edx。跳转到HaliAcpiSleep，将看到如下代码段：

.text:00000001C003C963                 mov     edx, dword ptr cs:HalpLowStubPhysicalAddress
.text:00000001C003C969                 call    HalpSetupRealModeResume
.text:00000001C003C96E                 test    al, al
.text:00000001C003C970                 jnz     loc_1C003CCA2      

HaliAcpiSleep传入的值是HalpLowStubPhysicalAddress。

2.Hal对HalpLowStubPhysicalAddress的引用：

查找Hal模块对HalpLowStubPhysicalAddress的引用：

Down  w HalpSetupAcpiPhase0+EC  mov     cs:HalpLowStubPhysicalAddress, rax      

INIT:00000001C0071E1B                 mov     edx, 100000h
INIT:00000001C0071E20                 mov     rcx, rbx
INIT:00000001C0071E23                 call    HalpAllocPhysicalMemory
INIT:00000001C0071E28                 mov     cs:HalpLowStubPhysicalAddress, rax
INIT:00000001C0071E2F                 test    rax, rax
INIT:00000001C0071E32                 jz      short loc_1C0071E53