首页 > 安全资讯 >

驱动笔记4:在驱动中操作注册表

09-01-10

 文章作者:grayfox作者主页:http://nokyo.blogbus.com原始出处:http://nokyo.blogbus.com/logs/33310880.html      注册表是Windows的核心,日常的许多操作其实最终都是转化成了对注册表的操作,在ring3我

 文章作者:grayfox
作者主页:http://nokyo.blogbus.com
原始出处:http://nokyo.blogbus.com/logs/33310880.html 

    注册表是Windows的核心,日常的许多操作其实最终都是转化成了对注册表的操作,在ring3我们就经常利用注册表达到一些简单而特殊的效果,例如实现自启动等。到了ring0,有关注册表的操作更加频繁,在ring0我们主要使用Zw系列函数,与ZwCreateKey、ZwDeleteKey等。

    除此之外,DDK还提供了一系列以Rtl开头的运行时函数,它们可以是对Zw系列函数的封装,可以有效地简化对注册表的操作过程。主要的一些函数列表如下图所示。(限于篇幅的限制,Rtl函数的图片就不贴出了。)

 





    现在我们就通过编写一个程序来枚举指定注册表项的所有子项,代码和运行效果分别如下所示:

NTSTATUS
RegReadWriteTest()
{
    UNICODE_STRING ustrRegString;
    UNICODE_STRING ustrValueName;
    UNICODE_STRING ustrKeyName;
    HANDLE hRegister;
    ULONG  ulSize, i = 0;
    OBJECT_ATTRIBUTES obj_attrib;
    NTSTATUS status;
    PKEY_FULL_INFORMATION  pfi;
    PKEY_BASIC_INFORMATION pbi;

    // 初始化
RtlInitUnicodeString(&ustrRegString,L"
\Registry\Machine\SOFTWARE\DarkShadow\Filter");
    RtlInitUnicodeString(&ustrValueName, L"FilePath");
    InitializeObjectAttributes(    &obj_attrib,
                            &ustrRegString,
                            OBJ_CASE_INSENSITIVE,
                            NULL,
                            NULL);
    // 打开注册表
    status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &obj_attrib);
    if (NT_SUCCESS(status))
    {
        KdPrint(("[RegTest] ZwOpenKey %wZ Success!", ustrRegString));
    }
   
    // 第一次调用是为了获取长度
    ZwQueryKey(    hRegister, KeyFullInformation, NULL, 0, &ulSize);
    pfi = (PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ulSize);

    // 第二次调用是为了获取数据
    ZwQueryKey(    hRegister, KeyFullInformation, pfi, ulSize, &ulSize);
    for (i = 0; i < pfi->SubKeys; i++)
    {
        // 获取长度
        ZwEnumerateKey(    hRegister, i, KeyBasicInformation, NULL, 0, &ulSize);
        pbi = (PKEY_BASIC_INFORMATION)ExAllocatePool(PagedPool, ulSize);

        // 获取数据
        ZwEnumerateKey(    hRegister, i, KeyBasicInformation, pbi, ulSize, &ulSize);
        ustrKeyName.Length = (USHORT)pbi->NameLength;
        ustrKeyName.Buffer = pbi->Name;
        KdPrint(("[RegTest] The %d SubItem Name : %wZ. ", i, &ustrKeyName));

        // 释放内存
        ExFreePool(pbi);
    }
    ExFreePool(pfi);
    ZwClose(hRegister);

    return STATUS_SUCCESS;
}

相关文章
最新文章
热点推荐