Исследование данных жёсткого диска с использованием инструментов UEFI

Аннотация: Чередникова О.Ю., Якубов Я.А. Исследование данных жёсткого диска с использованием инструментов UEFI. Продемонстрированы возможности UEFI для разработки системных утилит. Рассмотрена разработка приложения на платформе UEFI на примере системной утилиты для исследования данных физического диска.

Общая постановка проблемы

На сегодняшний день системные утилиты выполняют различные специализированные задачи, связанные с работой оборудования или операционной системы. Системные утилиты позволяют реализовать возможности, зачастую недоступные без их применения, либо расширяют эти возможности.

Существует большое количество утилит, разработанных для исследования информации физических дисков. Они выполняют такие задачи:

• Определение схемы разметки диска
• Получение таблицы разделов
• Исследование файловых систем на разделах диска

Однако большинство утилит не рассчитаны на запуск вне операционной системы, поэтому актуальной является задача разработки утилиты, которая могла бы определять схему разметки диска без загрузки ОС.

Типы таблиц разделов

Для анализа данных физического диска необходимо знать размер и расположение логических разделов диска, эта информация храниться в таблице разделов. Существует два типа таблиц разделов физических дисков: традиционная и GPT (GUID-таблица разделов).

Традиционная таблица разделов является частью схемы разметки MBR (Master Boot Record, главная загрузочная запись), которая расположена в нулевом секторе физического диска. Размер структуры MBR равен 512 байт. Она использовалась начиная с 1983 года в операционной системе IBM PC DOS 2.0 и на данный момент считается устаревшей. MBR непосредственно участвует в процессе запуска компьютера после окончания процедуры POST (Power-on self-test) и выбора загрузочного устройства. Базовая система ввода-вывода (BIOS) загружает код первичного загрузчика, который располагается в MBR и передаёт ему управление. Первичный загрузчик ищет раздел, на котором находится операционная система и передаёт управление вторичному загрузчику, который расположен на этом разделе и далее загружает операционную систему. Ранее структура MBR использовала CHS (Cylinder, Head, Sector) адресацию, которая отражала реальную геометрию диска, но она позволяла использовать диск объёмом не более 8 гигабайт. С быстрым рост объёма накопителей CHS-адресация была заменена LBA (Logical Block Addressing) адресацией. Смысл LBA-адресации состоит в том, что весь объём диска разделён на логические блоки. Использование LBA-адресации позволяет использовать раздел, размер которого не превышает 2.2 терабайта. Классическая структура MBR представлена на рисунке 1 [1].

В 1998 году компания Intel разработала спецификацию EFI (Extensible Firmware Interface) как замену BIOS. В 2005 году EFI была переименована в UEFI (Unified Extensible Firmware Interface). В спецификацию UEFI входит GUID-таблица разделов, которая была разработана для преодоления ограничений, накладываемых традиционной таблицей разделов физического диска, не позволяющей создавать разделы больше 2.2 терабайт. В GPT полностью отказались от адресов в формате CHS, которые ранее использовала главная загрузочная запись. Диски, которые используют GPT, могут содержать защитную MBR, которая используется, если компьютер не поддерживает спецификацию UEFI и защищают GPT от повреждения программами, не знающими о существовании UEFI [1]. Структура GPT представлена на рисунке 2.

Возможности UEFI для разработки системных утилит

Основное предназначение UEFI - замена устаревшей технологии BIOS и преодоление связанных с ней ограничений. UEFI является интерфейсом между операционной системой и микропрограммами, управляющими низкоуровневыми функциями оборудования. Его основными функциями являются инициализация и первичное тестирование оборудования при включении системы и передача управление загрузчику ОС. Разработкой спецификации занимается UEFI Forum, в состав которого входят представители различных компаний и вендоров. UEFI имеет модульную архитектуру, где каждый модуль представляет собой драйвер или приложение, которое реализует дополнительные возможности или поддержку оборудования. Приложения UEFI выполняются непосредственно перед загрузкой операционной системы. Приложения разрабатываются на языке высокого уровня, могут иметь графический интерфейс, который упрощает их использование. Возможность разработки UEFI приложений и драйверов на языке виртуальной машины EBC (EFI Byte Code) позволяет обеспечить кроссплатформенность программного обеспечения и минимизировать затраты на портирование программного кода под различные процессорные архитектуры [2].

Спецификация UEFI имеет две открытые реализации: TianoCore, разработанную Intel, и gnu-efi, разрабатываемую сообществом. Обе реализации опубликованы под лицензией BSD. Реализация TianoCore является более популярной, чем gnu-efi и предоставляет многофункциональное окружение и среду EDK II, которая может использоваться для разработки микропрограмм для UEFI и PI (Platform Initialization Specification) спецификаций. EDK II снабжена примерами и документацией, которые упрощают и ускоряют разработку приложений.

Разработка утилиты UEFI для исследования данных жёсткого диска

Для разработки утилиты была выбрана реализация TianoCore, имеющая большое количество примеров, документации и реализацию стандартной библиотеки языка C. Приложения могут быть драйверами UEFI, которые могут работать резидентно, и приложениями UEFI. Утилита разработана как приложение, так как ей не требуется резидентный режим работы.

UEFI описывает программный интерфейс, который позволяет абстрагироваться от конкретной аппаратной платформы. Аппаратная платформа включает в себя процессор, чипсет и другие компоненты. Основными концепциями UEFI являются:

• Объекты, управляемые UEFI-микропрограммой и использующиеся для управления состоянием системы
• Системная таблица UEFI – основная структура данных, содержащая таблицы данных и вызовы функций для взаимодействия с системой
• База дескрипторов и протоколов – набор предоставляющие вызываемых интерфейсов
• Образы UEFI – формат исполняемых файлов
• События – позволяют приложениям обмениваться сигналами
• Пути к устройствам – структуры данных, которые описывают аппаратное расположение устройств, таких как шина, раздел или имя образа UEFI на диске.

Системная таблица UEFI является самой важной структурой в UEFI. Указатель на структуру передаётся в каждое приложение как параметр в его точку входа. Из этой структуры образ UEFI может получить доступ к конфигурации системы и набору служб: UEFI Boot Services, UEFI Runtime Services и службам протоколов.

База данных дескрипторов и протоколов содержит в себе дескрипторы, идентифицируемые по GUID (Globally Unique Identifier) – уникальному 128-битному идентификатору. Протокол UEFI – блок указателей функций и структур данных, которые определены спецификацией UEFI. Каждый протокол также имеет GUID, который используется функцией HandleProtocol, для получения дескриптора этого протокола. Протокол может включать в себя структуру данных, содержащую поля данных или сервисы. Во время инициализации UEFI, приложения и драйверы присваивают протоколы дескрипторам. Дескрипторы являются глобальными и могут быть использованы любым образом UEFI. Каждый дескриптор идентифицируется уникальным номером дескриптора. Каждая запись в базе дескрипторов представляет собой набор из одного или нескольких протоколов. Тип протоколов определяется GUID, присоединяется к дескриптору и определяет тип дескриптора. Дескриптор может указывать на такие компоненты, как образ UEFI, устройство, службы UEFI.

Для получения доступа к физическим дискам был использован EFI_BLOCK_IO_PROTOCOL, позволяющий использовать физический диск как блочное устройство. Для получения дескриптора протокола необходимо вызвать функцию LocateHandlerBuffer, указав GUID запрашиваемого протокола. Поле глобальной переменной gBS, которая является указателем на UEFI Boot Services, содержит указатель на функцию LocateHandlerBuffer. Данная функция при вызове вернет все дескрипторы, которые указывают на устройства, поддерживающие передаваемый ей протокол. Далее, вызвав функцию HandleProtocol и передав ей дескриптор, мы получим объект протокола блочного устройства [3].

Блочными устройствами могут являться как физические диски, так и логические. Объект протокола содержат указатели на такие функции как ReadBlocks, WriteBlocks и другие. Эти функции позволяют записывать и считывать данные на диск поблочно. С использованием этих функций производится анализ содержимого физического диска, анализ структур MBR и GPT, получение таблицы разделов. Интерфейс программы представлен на рисунке 3.

Утилита позволяет определить таблицу разделов для физических дисков MBR и GPT, определить объём физического диска, объём и тип каждого из его разделов.

Выводы

В результате были продемонстрированы возможности UEFI по разработке системной утилиты для исследования данных физического диска. Разработанная утилита может выполняться на компьютере, оснащённом микропрограммой, разработанной в соответствии со спецификацией UEFI, без наличия на нём установленной операционной системы.

Литература

1. Кэрриэ Б. Криминалистический анализ файловых систем [Текст]. – СПб.: Питер, 2007. – 480 с.: ил.
2. Beyond BIOS: Developing with the Unified Extensible Firmware Interface /V. Zimmer, М. Rothman, S. Marisetty. — 3rd edition. — Boston: De|G Press, 2017. — 326 p.
3. Unified Extensible Firmware Interface (UEFI) Specification. Version 2.7 Errata A – Unified EFI Forum, 2017. – 2575 p.