如何在macOS系统下向USB驱动器发送通用SCSI命令

核心思路：绕开块驱动占用的接口 #

macOS的块驱动会默认占用USB存储设备的批量传输接口，导致直接打开IOUSBDeviceInterface后无法获取IOUSBInterfaceInterface，可通过以下两种方式解决：

方法一：临时卸载块驱动 #

• 用diskutil list找到目标U盘的磁盘标识（如/dev/disk2）
• 执行卸载命令：diskutil unmountDisk /dev/diskX（替换diskX为实际磁盘号）
• 卸载后重新枚举设备，块驱动不再占用接口，即可正常打开IOUSBInterfaceInterface

方法二：使用IOConnectCallStructMethod直接调用内核接口 #

无需卸载驱动，直接通过内核用户客户端发送命令，步骤如下：

1. 按Vendor ID和Product ID匹配目标IOUSBDevice对象
2. 通过IOConnectCreate创建用户客户端连接
3. 构造16字节CDB命令、32字节发送载荷，以及4096字节接收缓冲区
4. 调用IOConnectCallStructMethod完成命令传输，注意参数的正确传递：
   • 第一个参数为连接句柄
   • 第二个为方法编号（需对应内核中处理厂商命令的方法，可参考USB驱动内核扩展定义）
   • 第三个为输入数据（CDB+发送载荷的组合）
   • 第四个为输入数据总大小（16+32=48字节）
   • 第五个为接收缓冲区
   • 第六个为输出大小指针（传入4096，执行后返回实际读取字节数）

关键代码示例（C语言） #

#include <IOKit/IOKitLib.h>
#include <IOKit/usb/IOUSBLib.h>

// 匹配目标USB设备的回调
static kern_return_t FindTargetDevice(io_iterator_t iterator, void *userData) {
    io_service_t device = IOIteratorNext(iterator);
    if (device) {
        *(io_service_t *)userData = device;
    }
    return KERN_SUCCESS;
}

int main() {
    kern_return_t kr;
    io_service_t targetDevice = IO_OBJECT_NULL;
    io_connect_t clientConnect;
    CFMutableDictionaryRef matchDict;

    // 构造设备匹配字典，替换为你的Vendor ID和Product ID
    uint32_t vendorID = 0xXXXX;
    uint32_t productID = 0xXXXX;
    matchDict = IOServiceMatching(kIOUSBDeviceClassName);
    CFDictionarySetValue(matchDict, CFSTR(kUSBVendorID), CFNumberCreate(kCFAllocatorDefault, kCFNumberSInt32Type, &vendorID));
    CFDictionarySetValue(matchDict, CFSTR(kUSBProductID), CFNumberCreate(kCFAllocatorDefault, kCFNumberSInt32Type, &productID));

    // 枚举设备
    io_iterator_t deviceIterator;
    kr = IOServiceGetMatchingServices(kIOMasterPortDefault, matchDict, &deviceIterator);
    if (kr != KERN_SUCCESS) return 1;

    FindTargetDevice(deviceIterator, &targetDevice);
    IOObjectRelease(deviceIterator);

    if (targetDevice == IO_OBJECT_NULL) return 1;

    // 创建用户客户端连接
    kr = IOConnectCreate(targetDevice, 0, &clientConnect);
    IOObjectRelease(targetDevice);
    if (kr != KERN_SUCCESS) return 1;

    // 构造命令与缓冲区
    uint8_t cdbCmd[16] = {0xXX, 0xXX, ...}; // 替换为你的16字节CDB命令
    uint8_t sendPayload[32] = {0}; // 32字节发送数据
    uint8_t recvBuffer[4096] = {0};
    size_t recvSize = sizeof(recvBuffer);

    // 组合输入数据
    uint8_t inputData[48];
    memcpy(inputData, cdbCmd, 16);
    memcpy(inputData + 16, sendPayload, 32);

    // 调用内核方法，方法编号需根据实际情况调整
    kr = IOConnectCallStructMethod(clientConnect, 0, inputData, sizeof(inputData), recvBuffer, &recvSize);
    if (kr == KERN_SUCCESS) {
        // 处理recvBuffer中的返回数据
    }

    IOConnectRelease(clientConnect);
    return 0;
}

注意事项 #

• 编译时需链接IOKit框架：gcc -o usb_vendor_cmd usb_vendor_cmd.c -framework IOKit
• 方法编号需对应内核驱动的实际方法，可通过逆向或查阅USB驱动的私有定义获取（注意私有API可能随系统更新变化）
• 方法一卸载驱动后，U盘暂时无法作为磁盘访问，操作完成后可通过diskutil mountDisk /dev/diskX重新挂载

内容的提问来源于stack exchange，提问作者Dan Gill