MOF-файл

MOF-файл (Managed Object Format, MOF) — это текстовый файл на языке описания управляемых объектов, используемый в инфраструктуре управления Windows (WMI, Windows Management Instrumentation) и в общей модели управляемых объектов (CIM, Common Information Model). MOF-файлы содержат определения классов, свойств, методов и экземпляров управляемых объектов, которые описывают структуру и поведение системных и прикладных компонентов, доступных для мониторинга и управления через WMI.

История и происхождение

MOF-файлы были введены корпорацией Microsoft в составе Windows 2000 как часть реализации WMI, основанной на стандарте CIM, разработанном Distributed Management Task Force (DMTF). Язык MOF является текстовым представлением метамодели CIM, позволяющим описывать управляемые ресурсы (например, процессы, диски, сетевые адаптеры) в формализованном виде. С выходом Windows Vista и более поздних версий MOF-файлы стали использоваться для описания поставщиков WMI (WMI providers) и расширения набора классов, доступных для управления.

Синтаксис и структура

MOF-файл представляет собой последовательность директив и определений, записанных в кодировке UTF-16LE (по умолчанию) или UTF-8. Основные элементы синтаксиса:

• Классы — описываются ключевым словом class, за которым следует имя класса, список свойств с типами (например, uint32, string, datetime) и модификаторами (например, [Key], [Read]). Пример:

`` class Win32_Process { [Key] uint32 ProcessId; string Name; uint32 Priority; }; ``

• Экземпляры — создаются с помощью ключевого слова instance of, за которым указывается имя класса и значения свойств. Пример:

`` instance of Win32_Process { ProcessId = 1234; Name = "notepad.exe"; Priority = 8; }; ``

• Ассоциации — связи между классами, описываемые с помощью ключевого слова association. Используются для моделирования отношений (например, процесс-поток).
• Квалификаторы — модификаторы, уточняющие поведение класса или свойства (например, [Key] для первичного ключа, [Association] для ассоциации, [Implemented] для указания на реализацию).
• Директивы препроцессора — поддерживаются #pragma (например, #pragma namespace("\\\\.\\root\\cimv2") для указания пространства имён WMI) и #include для включения других MOF-файлов.

Применение

MOF-файлы используются в следующих сценариях:

• Расширение схемы WMI — системные администраторы и разработчики могут создавать собственные классы WMI, описывая их в MOF-файлах и регистрируя через утилиту mofcomp.exe (компилятор MOF). Например, для мониторинга специфических приложений или оборудования.
• Определение поставщиков WMI — MOF-файлы могут содержать информацию о поставщиках (providers), которые реализуют методы и свойства классов. Поставщик указывается через квалификатор [Provider("имя_поставщика")].
• Автоматизация управления — скрипты PowerShell и VBScript могут использовать классы, определённые в MOF-файлах, для получения или изменения данных. Например, класс Win32_Service позволяет управлять службами Windows.
• Интеграция с CIM — MOF-файлы совместимы с реализациями CIM на других платформах (например, OpenPegasus для Linux), что позволяет описывать управляемые объекты кросс-платформенно.

Компиляция и регистрация

Для использования MOF-файла в системе Windows его необходимо скомпилировать и зарегистрировать в репозитории WMI. Это выполняется с помощью утилиты mofcomp.exe, входящей в состав Windows. Команда: `` mofcomp.exe путь_к_файлу.mof ` После компиляции классы и экземпляры становятся доступными через WMI-инструменты (например, wbemtest, PowerShell Get-WmiObject). Компилятор проверяет синтаксис MOF, разрешает ссылки на другие классы и помещает определения в указанное пространство имён (по умолчанию root\cimv2`). Ошибки компиляции выводятся в консоль.

Примеры использования

Пример 1: Определение простого класса

```mof

pragma namespace("\\\\.\\root\\cimv2")

class MyApp_Process { [Key] uint32 ProcessId; string Name; uint32 MemoryUsage; }; `` После компиляции класс MyApp_Process` можно использовать для получения данных о процессах приложения.

Пример 2: Создание экземпляра

``mof instance of MyApp_Process { ProcessId = 5678; Name = "myapp.exe"; MemoryUsage = 102400; }; `` Экземпляр будет добавлен в репозиторий WMI и доступен для запросов.

Ограничения и особенности

• Зависимость от WMI — MOF-файлы работают только в среде Windows с установленной службой WMI. В системах без WMI (например, Windows PE) компиляция невозможна.
• Чувствительность к регистру — имена классов и свойств в MOF чувствительны к регистру, что может вызывать ошибки при несоответствии.
• Безопасность — регистрация MOF-файлов требует прав администратора, так как изменяет системный репозиторий WMI. Злонамеренные MOF-файлы могут использоваться для внедрения вредоносных классов (например, для обхода антивирусов).
• Совместимость — синтаксис MOF различается в версиях Windows. Например, в Windows 10 и Windows Server 2016 поддерживаются расширенные квалификаторы, отсутствующие в Windows 2000.

Инструменты для работы с MOF-файлами

• mofcomp.exe — стандартный компилятор MOF, входящий в состав Windows.
• WMI Tools — набор утилит от Microsoft (например, WMI Object Browser, WMI Event Registration Tool), позволяющий просматривать и редактировать MOF-данные.
• PowerShell — командлеты Get-WmiObject, Set-WmiInstance и Invoke-WmiMethod могут работать с классами, определёнными в MOF, но не создают MOF-файлы напрямую.
• Редакторы текста — любой текстовый редактор (Блокнот, Notepad++, Visual Studio Code) подходит для создания MOF-файлов, но рекомендуется использовать подсветку синтаксиса для MOF (доступна в расширениях).

Интересные факты

• MOF-файлы могут содержать до 64 КБ данных на один класс (ограничение репозитория WMI). Для больших схем используются несколько файлов с директивами #include.
• В Windows 10 и Windows Server 2019 Microsoft внедрила поддержку MOF-файлов в контексте Windows Admin Center для описания расширений управления.
• Некоторые антивирусные программы (например, Kaspersky) блокируют автоматическую компиляцию MOF-файлов из-за риска использования в атаках (например, MOF-файлы могут быть частью эксплойтов для повышения привилегий).

Источники

• Microsoft Docs: «Managed Object Format (MOF)» — официальная документация по синтаксису и использованию MOF.
• DMTF Standard: «Common Information Model (CIM) Infrastructure Specification» — описание метамодели CIM, лежащей в основе MOF.
• Книга: «Windows Management Instrumentation (WMI)» by Matthew M. Lavy и Ashley J. Meggitt — практическое руководство по работе с WMI и MOF.
• Статья: «MOF Files in Windows: A Comprehensive Guide» на сайте TechNet (архив Microsoft).