《雲端軟體平台》運行機制淺析

    我關注《雲端軟體平台》是因為他參加了 “創新軟體大賽”，當時一個我比較關注的軟體也參加了比賽，我在看大賽的軟體列表中無意看到了“雲端”，當時只是感覺這個軟體比較有意思而已，沒有深入分析。後來聽一個去北京參加大賽的朋友說“雲端” 拿了金獎，這才令我對“雲端”真正關注起來。既然拿了頭名，估計今後會小小地火一把，說不定拿到風險投資後會大有作為？其實我更關心的是技術層面的東西。

    在雲端網站的FAQ中我看到這樣一句話“當某軟體被啟用時，會在下出現目錄和檔案，隱藏軟體則消失。c:/program files/下的目錄和檔案是雲端為軟體虛擬系統位置之一，並不佔用C盤實際硬碟空間。軟體資源的實際儲存地為緩衝，只佔用緩衝所在磁碟的空間。一些需要進入軟體安裝目錄進行的操作，可以進入這個虛擬目錄裡進行。對該目錄下檔案的修改將被記入到緩衝。”這是比較有意思的地方，就從這裡入手吧。

    我在“雲端”裡下載了一個“搜狗IME”進行安裝，整個過程並沒有彈出搜狗IME的安裝介面。在“雲端”裡啟用搜狗IME，確認該IME可以正常使用後，我來到了c:/programfiles 下，看到一個“SogouInput”檔案夾，開啟該檔案夾搜狗IME的各個檔案一應俱全，看一下系統的IME列表，“搜狗拼音IME” 也在其中，說明相關的登錄機碼也已經存在。然後我在“雲端”裡面隱藏了搜狗IME，“SogouInput”瞬間消失了，系統的IME列表中也沒有“搜狗”了。首先我感覺，至少檔案部分不是簡單的 “複製” ，因為30多M的檔案複製或刪除起來應該有一個可以觀察到的過程，可是，這個過程在“雲端”啟用與隱藏軟體時是沒有的。為了驗證我的這個推斷，我在搜狗IME啟用的時候，開啟“SougouInput”檔案夾，運行其中的config.exe，然後隱藏搜狗IME，congif.exe 隨著其所在的檔案夾一起消失了，但是正在啟動並執行 config.exe 的視窗還在，我用 SeeMdLine 命令列查看工具查看了一下，這個視窗所對應的可執行檔就是“C:/Program Files/SogouInput/3.6.0.1653/config.exe”這個已經不存在的檔案。眾所周知，正在啟動並執行 exe 是無法刪除的，既然我可以刪除“C:/Program Files/SogouInput/3.6.0.1653/config.exe”那就說明真正的被運行起來的 config.exe 並不在“C:/Program Files/SogouInput/”下，但是 SeeMdLine 是從系統中直接擷取的路徑，也就是說，系統被“騙了”，config.exe 以及搜狗IME所需的那些檔案壓根就不再 C 盤，我們看到的“C:/Program Files/SogouInput/”只是另外一個真實存在的檔案夾的一個“影子”。這個檔案夾到底在哪裡呢？聯想到“雲端”的FAQ“可以進入這個虛擬目錄裡進行。對該目錄下檔案的修改將被記入到緩衝”，我有了一個辦法。我在“C:/Program Files/SogouInput/”下建立一個檔案，然後在“雲端”的 cache 目錄中一搜尋，果然發現了蹤跡。“雲端”是如何?檔案的“影子”的呢？相信做過 Hook 之類的朋友應該能想到一些什麼。開啟“雲端”的安裝目錄，兩個 sys 檔案赫然在目。我想“雲端”在運行時應該是利用驅動程式進入 Ring0 然後 Hook… …反正就是那一套了，我也不想多說了，網上到處是介紹;)

    簡單地分析過“雲端”的運行機制後，我認為“雲端”還是有一定技術含量的，至少驅動程式不是隨隨便便就可以寫的（至少我不會）。其實技術含量是次要的，“創意”才是它的亮點，對吧？