1995年Microsoft公司推出了其新一代的桌面操作系統(tǒng)Windows  95，從技術(shù)層面來看它是為發(fā)揮32位處理優(yōu)越性能而設(shè)計的一個32位操作系統(tǒng)。而它出色的穩(wěn)定性，強(qiáng)大的尋址能力，無不歸功于對32位處理保護(hù)模式的充分應(yīng)用。具體來講，它利用了80386的保護(hù)機(jī)制，從操作系統(tǒng)到一般應(yīng)用程序分別分到4個特權(quán)層上，操作系統(tǒng)享有的優(yōu)先級，被安排在ring-0上運(yùn)行，而優(yōu)先級的普通應(yīng)用程序被安排在ring-3上運(yùn)行。這樣做的好處是如果一般的應(yīng)用程序在ring-3上崩潰將不會影響到ring-0的操作系統(tǒng)，另一方面也是對在ring-3上的應(yīng)用程序所能訪問到的資源做了一定的限制，從而大大降低了因應(yīng)用程序直接操作而產(chǎn)生的意外錯誤。換句話說，在Windows  98或Windows  95下，應(yīng)用程序不能像在實(shí)模式下可以隨意操作硬件資源，而需要通過編寫運(yùn)行在內(nèi)核模式（ring-0）的虛擬設(shè)備驅(qū)動程序（virtual  device  driver）才能達(dá)到目的。因此，在Windows  9X下如何高效編寫硬件設(shè)備驅(qū)動程序是微機(jī)應(yīng)用開發(fā)中迫切需要解決的問題。

　　１ Windows 9X系統(tǒng)結(jié)構(gòu)

　　確切的說Windows 9X不是一個操作系統(tǒng)，而是一個操作系統(tǒng)的集合。當(dāng)計算機(jī)運(yùn)行在保護(hù)模式下時，有“兩個”操作系統(tǒng)同時存在，即Windows 本身和一個更低的操作系統(tǒng)，我們把它稱為VMM/DPMI(virtual machine manager/Dos protect mode interface)。VMM的主要目的是管理同時運(yùn)行的32位保護(hù)模式Windows應(yīng)用程序（Win32 applications以及運(yùn)行在虛擬86模式下的MS-DOS程序，前者稱為“線程”（threads），后者稱為VM（virtual machine)。VMM使每一條線程擁有自己的獨(dú)立地址空間，使每一個VM都“單獨(dú)”占有CPU，并為它們提供各種服務(wù)。從圖１中我們可以看出，threads和VMs所能訪問到的資源已不是直接的物理資源，而是被VMM虛擬化virtualized后的虛擬資源了。

　　另外，VMM是一個可擴(kuò)充的“操作系統(tǒng)”，它的核心部件以及標(biāo)準(zhǔn)部件（比如，DMA控制器管理VDMAD，中斷管理VPICD等）是由Microsoft提供的。但我們可以編寫一些擴(kuò)充模塊，也就是用VxD來增強(qiáng)VMM對硬件的虛擬能力，使整個操作系統(tǒng)獲得對新硬件的訪問能力。不僅如此，這種擴(kuò)充操作系統(tǒng)的辦法，還能為Win32程序與MS-DOS程序之間的通訊提供一種新的途徑以代替?zhèn)鹘y(tǒng)的MS-DOS設(shè)備驅(qū)動程序以及內(nèi)存駐留程序TSRs。從某種意義上說，沒有VxD不能完成的事情，而且由于VxD是運(yùn)行的保護(hù)模式下，所以它并不占有寶貴的常規(guī)內(nèi)存。此外，運(yùn)行實(shí)模式MS-DOS驅(qū)動程序所導(dǎo)致的模式切換也不復(fù)存在。因此一般來講，VxD的運(yùn)行速度要高出MS-DOS驅(qū)動程序一倍以上。更重要的是VxD在Windows 9X下可以動態(tài)裝入與卸載而不需要重新啟動計算機(jī)，這就大大提高了系統(tǒng)的靈活性，同時也為即插即用（Plug and Play)提供了可能。與實(shí)模式的驅(qū)動程序相比，可動態(tài)裝、卸載可謂是一場革命。

　　２ VxD的結(jié)構(gòu)及通訊策略

　　普通的Win32應(yīng)用程序都是PE格式（Portable Exectable Format)的，而ＶｘＤ則不同，它沒有一般程序的進(jìn)出口而是輸出一種稱作設(shè)備描述塊DDB（Device Descriptor Block)的數(shù)據(jù)結(jié)構(gòu)。它包括VxD設(shè)備ID、初始化順序、Win32DeviceIOControl回調(diào)函數(shù)句柄、V86API句柄、PM API句柄等VMM在調(diào)用VxD時所需要的重要信息。此外，同其他應(yīng)用程序一樣，VxD由五個段構(gòu)成，它們分別是：

　　（１）VxD＿CODE段：保護(hù)模式代碼段。該段包含VxD系統(tǒng)控制過程、回調(diào)過程、服務(wù)和API過程。

　　（２）VxD＿DATA段：保護(hù)模式數(shù)據(jù)段。該段包括設(shè)備描述表、服務(wù)表和部分VxD全局?jǐn)?shù)據(jù)。

　　（３)VxD＿ICODE段：保護(hù)模式初始化代碼段（可選）。該段一般包括只在VxD初始化過程中使用的過程和服務(wù)，VMM在Init＿Complete消息發(fā)生后丟棄此段。

　　（４）VxD＿IDATA段：保護(hù)模式初始化數(shù)據(jù)段（可選）。該段一般包括初始化過程和服務(wù)使用的數(shù)據(jù)，VMM在Init＿Complete消息發(fā)生后丟棄此段。

　　（５）VxD＿REAL＿INIT段：實(shí)模式初始化段（可選）。該段包含實(shí)模式初始化過程和數(shù)據(jù)，VMM在裝載VxD其它部分之前調(diào)用此過程，過程返回后丟棄此段。

　　當(dāng)VxD裝入內(nèi)存時，VxD通常要靠DDB中所添入的一個16位的VxD設(shè)備ID，以區(qū)別于其它VxD。為了防止與其他新VxD沖突，Microsoft通過請求和注冊標(biāo)識來保證自己的VxD設(shè)備ID沒有被其它廠商使用，為此Microsoft保留0～01FFH之間的所有VxD設(shè)備ID供自己使用。

　　在編寫VxD時首先要編寫VMM的消息處理函數(shù)，以便作相應(yīng)的處理。例如，在VxD裝入內(nèi)存時VMM對能動態(tài)裝載的VxD發(fā)出SYS＿DYNMAIC＿DEVICE＿INIT消息，在要求卸載VxD時VMM又向其發(fā)出SYS＿DYNAMIC＿DEVICE＿EXIT消息。在VxD中只需編寫相應(yīng)的處理函數(shù)，便可達(dá)到設(shè)備初始化與卸載釋放資源的目的。拿Win32程序來說，它使用CreateFile API函數(shù)打開可動態(tài)裝、卸載的VxD時VMM便會發(fā)出SYS＿DYNAMIC＿DEVICE＿INIT消息。相應(yīng)的，當(dāng)它使用CloseHandle API函數(shù)卸載VxD時VMM便會發(fā)生SYS＿DYNAMIC＿DEVICE＿EXIT消息。

　　另外，在具體調(diào)用VxD中的函數(shù)時，也不像調(diào)用ring-3 DLL中的函數(shù)那樣容易。我們以調(diào)用對象不同分以下幾種情況討論：

　　（１）從其他VxD中調(diào)用（ring-0調(diào)用ring-0）

　　當(dāng)生成VxD時，所有可以被其他VxD調(diào)用的函數(shù)都列在一個數(shù)組里，我們稱這種函數(shù)為一個服務(wù)（Service）、這個數(shù)組為服務(wù)項(xiàng)目表（Service＿Table。在調(diào)用時，并不是用服務(wù)的名稱而是直接使用該函數(shù)在數(shù)組中的索引號。例如對VMM中的１號服務(wù)Get＿Cur＿VM＿Handle

　　可采用如下格式：

　　int 20h

　　DD00010001h

　　32位的DD由兩部分組成，它的高字包含了VxD設(shè)備的ID，低字包含了服務(wù)號（這里VMM的設(shè)備ID為0001h。

　　（２）從V86代碼或Win16（保護(hù)模式）代碼中調(diào)用ring-3調(diào)用ring-0

　　這里應(yīng)用程序要申請被調(diào)用的VxD函數(shù)地址，這個地址可以通過int 2FH/AX=1648h調(diào)用獲得。為了識別是調(diào)用哪一個VxD的函數(shù)，調(diào)用時可令BX=VxD設(shè)備ID。當(dāng)int 2Fh指令返回時，寄存器ES:DI（對保護(hù)模式有ES:EDI）包含一個seg:offset（對保護(hù)模式有selector:offset指針，調(diào)用該指針就可以把控制權(quán)交給運(yùn)行在ring-0下的VxD

　　（３）從Win32代碼中調(diào)用（ring-3調(diào)用ring-0)

　　事實(shí)上Microsoft隱藏了Win32的VxD服務(wù)接口，作為替代提供了Windows NT下的設(shè)備輸入、輸出控制（DeviceIOControl)Win32 API。Win32程序通過使用此函數(shù)向特定的VxD發(fā)送控制碼與數(shù)據(jù)。與此相應(yīng)在編寫VxD時要提提供一個相應(yīng)的回調(diào)函數(shù)以響應(yīng)它所發(fā)出的W32＿DeviceIOControl消息，并再去回調(diào)函數(shù)中響應(yīng)相應(yīng)的控制碼，還要把該回調(diào)函數(shù)的句柄添加到DDB中。它的定義如下：

    BOOL DeviceloControl(

    HANDLE hDevice,//用CreateFile API函數(shù)打開VxD設(shè)備獲得的句柄

    DWORD dwloControlCode,//ring3程序向VxD傳遞的命令碼（可由編程寫者自定）

     LPVOID lpOutBuffer,//程序傳給VxD的數(shù)據(jù)緩存的地址

    DWORD nlnBufferSize,//ring3程序傳給VxD的數(shù)據(jù)緩存的字節(jié)數(shù)

    LPVOID lpOutBuffer,//VxD的返回數(shù)據(jù)所存放的緩存地址（該緩存由ring-3預(yù)留）

    DWORDnOutBufferSize,//VxD的返回數(shù)據(jù)所存放的緩存的字節(jié)數(shù)

    LPDWORD lpBytesReturned,//VxD實(shí)際返回數(shù)據(jù)的字節(jié)數(shù)

　LPOVERLAPPED lpOverlapped  //一個OVERLAPPED的結(jié)構(gòu)地址，通常為NULL）；

　　由此不難看出這種DeviceIOControl的結(jié)構(gòu)也為VxD向ring-3回傳數(shù)據(jù)提供了一種途徑。這種通訊方式在ＮＴ的設(shè)備驅(qū)動程序中也得到了廣泛應(yīng)用，它是Microsoft大力提倡的Win32程序應(yīng)采用的一種通訊方式。

　　３ ＶｘＤ的實(shí)現(xiàn)

　　從編程工具方面來看，我們需要Windows 95 DDK和一個32bit的匯編編譯器，如MASM6.11c，如果打算用C/C++開發(fā)驅(qū)動程序的話，還應(yīng)選用一個32bit的c/c++4.0編譯器，筆者推薦采用Micrfoft Visual C++4.0以上的版本，因?yàn)樗С忠环N新的關(guān)鍵字——declspec(naked) 。采用該關(guān)鍵字的函數(shù)，編譯器將不為其生成相應(yīng)的函數(shù)進(jìn)出口代碼，這樣對于采用特殊函數(shù)結(jié)構(gòu)的VxD函數(shù)來說是非常方便的。除此之外，也有一些公司提供了一些VxD向?qū)饕詭椭脩羯蒀/C++的程序框架，使用它們可以大大提高開發(fā)效率，應(yīng)予以考慮，其中的有Vtoolsd95,VxDwriter等。在編程中應(yīng)注意，不要使用C/c++所提供的庫函數(shù)，特別是Microsoft的MFC，因?yàn)樗鼈兌际沁\(yùn)行在ring-3上的，如果非用不可的話，只有一些個別函數(shù)能通過使編譯器生成嵌入式指令來達(dá)到目的，但這樣做是要相當(dāng)小心的。另外，調(diào)試運(yùn)行在ring-0的驅(qū)動程序是相當(dāng)困難的，VC++以及MASM中的調(diào)試均不能滿足需要，而需采用內(nèi)核級的調(diào)試工具比如Microsoft的WDEB386以及Numega的SoftIce等。

　　４ VxD的局限性

　　VxD技術(shù)只適用于Windows 9X操作系統(tǒng)，Windows NT不支持此項(xiàng)技術(shù)，而是采用更為先進(jìn)的面向?qū)ο蟮尿?qū)動程序模型，例如Windows 98和Windows 2000就采用了一種基于ＮＴ的驅(qū)動程序模型WDM。此外，由于VxD運(yùn)行在ring-0上根本不受ring-3的制約，也給病毒的制造者即黑客以可乘之機(jī)，比如的CIH病毒是一個VxD。