首页 > 程序开发 > 综合编程 > 安全编程 >

驱动笔记4:在驱动中操作注册表

2009-01-10

 文章作者:grayfox作者主页:http://nokyo.blogbus.com原始出处:http://nokyo.blogbus.com/logs/33310880.html      注册表是Windows的核心,日常的许多操作其实最终都是转化成了对注册表的操作,在ring3我

文章作者:grayfox
作者主页:http://nokyo.blogbus.com
原始出处:http://nokyo.blogbus.com/logs/33310880.html

注册表是Windows的核心,日常的许多操作其实最终都是转化成了对注册表的操作,在ring3我们就经常利用注册表达到一些简单而特殊的效果,例如实现自启动等。到了ring0,有关注册表的操作更加频繁,在ring0我们主要使用Zw系列函数,与ZwCreateKey、ZwDeleteKey等。

除此之外,DDK还提供了一系列以Rtl开头的运行时函数,它们可以是对Zw系列函数的封装,可以有效地简化对注册表的操作过程。主要的一些函数列表如下图所示。(限于篇幅的限制,Rtl函数的图片就不贴出了。)

\



现在我们就通过编写一个程序来枚举指定注册表项的所有子项,代码和运行效果分别如下所示:

NTSTATUS
RegReadWriteTest()
{
UNICODE_STRING ustrRegString;
UNICODE_STRING ustrValueName;
UNICODE_STRING ustrKeyName;
HANDLE hRegister;
ULONG ulSize, i = 0;
OBJECT_ATTRIBUTES obj_attrib;
NTSTATUS status;
PKEY_FULL_INFORMATION pfi;
PKEY_BASIC_INFORMATION pbi;

// 初始化
RtlInitUnicodeString(&ustrRegString,L"
\Registry\Machine\SOFTWARE\DarkShadow\Filter");
RtlInitUnicodeString(&ustrValueName, L"FilePath");
InitializeObjectAttributes( &obj_attrib,
&ustrRegString,
OBJ_CASE_INSENSITIVE,
NULL,
NULL);
// 打开注册表
status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &obj_attrib);
if (NT_SUCCESS(status))
{
KdPrint(("[RegTest] ZwOpenKey %wZ Success!", ustrRegString));
}

// 第一次调用是为了获取长度
ZwQueryKey( hRegister, KeyFullInformation, NULL, 0, &ulSize);
pfi = (PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ulSize);

// 第二次调用是为了获取数据
ZwQueryKey( hRegister, KeyFullInformation, pfi, ulSize, &ulSize);
for (i = 0; i < pfi->SubKeys; i++)
{
// 获取长度
ZwEnumerateKey( hRegister, i, KeyBasicInformation, NULL, 0, &ulSize);
pbi = (PKEY_BASIC_INFORMATION)ExAllocatePool(PagedPool, ulSize);

// 获取数据
ZwEnumerateKey( hRegister, i, KeyBasicInformation, pbi, ulSize, &ulSize);
ustrKeyName.Length = (USHORT)pbi->NameLength;
ustrKeyName.Buffer = pbi->Name;
KdPrint(("[RegTest] The %d SubItem Name : %wZ. ", i, &ustrKeyName));

// 释放内存
ExFreePool(pbi);
}
ExFreePool(pfi);
ZwClose(hRegister);

return STATUS_SUCCESS;
}

\

相关文章
最新文章
热点推荐