本文转自http://eslxf.blog.51cto.com/918801/196917
v/:* {behavior:url(#default#VML);} o/:* {behavior:url(#default#VML);} w/:* {behavior:url(#default#VML);} .shape {behavior:url(#default#VML);}
1.1.8 内核的注册表操作
在驱动程序的开发中，经常会对注册表进行操作。
DDK
提供一套对注册表操作的函数。
v/:* {behavior:url(#default#VML);} o/:* {behavior:url(#default#VML);} w/:* {behavior:url(#default#VML);} .shape {behavior:url(#default#VML);} v/:* {behavior:url(#default#VML);} o/:* {behavior:url(#default#VML);} w/:* {behavior:url(#default#VML);} .shape {behavior:url(#default#VML);}
图3-1 注册表的在组成
首先对注册表的五个主要组成部分说明一下，如图
3-1
所示。
注册表项：注册表中的一个项目，类似目录的概念。每个项中存储多个二元结构，键名一键值。每个项中，可以有若干个子项。
注册表子项：类似于目录中的子目录。
键名：通过键名可以寻找到相应的键值。
键值类别：每个键值存储的时候有不同的类别，可以是整型、字符串等数据。
键值：键名下对应存储的数据。
1.1.8.1 初始化一个 OBJECT_ATTRIBUTES 结构体
为了能对注册执行操作，必须首先调用
InitializeObjectAttributes
函数初始化一个
OBJECT_ATTRIBUTES
结构体，函数原形如下：
VOID
InitializeObjectAttributes(
OUT POBJECT_ATTRIBUTES InitializedAttributes,
IN PUNICODE_STRING ObjectName,
IN ULONG Attributes,
IN HANDLE RootDirectory,
IN PSECURITY_DESCRIPTOR SecurityDescriptor
);
参数
InitializedAttributes
指向需要初始化的
OBJECT_ATTRIBUTES
结构体。参数
ObjectName
描述需要打开注册表对象的名称，用
Unicode
字符串表示。参数
Attributes
为标识，如设置为
OBJ_CASE_INSENSITIVE
，那么把
ObjectName
与已存在的对象进行比较时就不区分大小写。参数
RootDirectory
描述
ObjectName
参数的根目录，如果
ObjectName
是一个完全的名称，则设为
NULL
。
参数
SecurityDescriptor
为一个安全描述，驱动程序可设为
NULL
，采用默认的安全。
1.1.8.2 打开注册表
DDK
提供了内核函数
ZwOpenKey
打开一个已存在的注册表项。如果
ZwOpenKey
指定的项不存在，就不会创建这个项，而是返回一个错误状态。该函数的声明如下：
NTSTATUS
ZwOpenKey(
OUT PHANDLE KeyHandle,
IN ACCESS_MASK DesiredAccess,
IN POBJECT_ATTRIBUTES ObjectAttributes
);
参数
KeyHandle
为返回被打开的句柄。参数
DesiredAccess
为打开的权限，一般设为
KEY_ALL_ACCESS
。参数
ObjectAttri110utes
是
OBJECT_ATTRIBUTES
数据结构，指示打开的状态。
如果打开成功函数ZwOpenKey返回STATUS_SUCCESS，否则返回一个错误代码，可能为STATUS_INVALID_HANDLE或STATUS_ACCESS_DENIED。
1.1.8.3 关闭注册表
打开的注册表，如果不在使用需要采用
ZwClose函数
关闭它，函数原型如下。
NTSTATUS
ZwClose(
IN HANDLE Handle
);
参数
Handle
为所要关闭的注册表句柄。
1.1.8.4 查询注册表
驱动程序中有时需要对注册表的项进行查询，从而获取注册表的键值
aDDK
提供的
ZwQueryValueKey
函数可以完成这个任务，其声明如下：
NTSTATUS
ZwQueryValueKey(
IN HANDLE KeyHandle,
IN PUNICODE_STRING ValueName,
IN KEY_VALUE_INFORMATION_CLASS KeyValueInformationClass,
OUT PVOID KeyValueInformation,
IN ULONG Length,
OUT PULONG ResultLength
);
参数
KeyHandle
为打开的注册表句柄。参数
ValueName
为要查询的键名。参数
KeyValuelnformationClass
决定不同的查询类别。参数
KeyValuelnformation
选择一种查询类别。选择
KeyValueBasiclnformation
、
KeyValueFulllnformation
或者
KeyValuePartiallnformation
。参数
Length
为要查数据的长度。参数
ResultLength
为实际查询返回的数据长度。
如果打开成功函数返回
STATUS_SUCCESS
，否则返回一个错误代码。
使用
ZwQueryValueKey
函数查询注册表单时，需要用
KeyValuelnformationClass
选择一种查询方式。这可以是
KeyVajueBasiclnformation
、
KeyValueFulllnformation
或者
KeyValuePartiallnformation
中的一种。这分别代表查询基本信息，查询全部信息和查询部分信息，每种查询类型会有对应的一种数据结构获得查询结果。
一般情况下，选择
KeyValuePartiallnformation
就可以查询键值的数据了，它对应的查询数据结构是
KEY_VALUE_PARTIAL_INFORMATION
的数据结构。
typedef struct _KEY_VALUE_PARTIAL_INFORMATION {
ULONG TitleIndex;
ULONG Type;
ULONG DataLength;
UCHAR Data[1];
//变量的大小
} KEY_VALUE_PARTIAL_INFORMATION, *PKEY_VALUE_PARTIAL_INFORMATION;
KEY_VALUE_PARTIAL_INFORMATION
的数据结构长度不固定，所以首先要确定这个长度。一般使用
ZwQueryValueKey
分为
4
个步骤操作。
<!--[if !supportLists]-->
Ø <!--[endif]-->
用
ZwQueryValueKey
获取这个数据结构的长度。
<!--[if !supportLists]-->
Ø <!--[endif]-->
分配如此长度的内存，用来查询。
<!--[if !supportLists]-->
Ø <!--[endif]-->
再次调用
ZwQueryValueKey
，获取键值。
<!--[if !supportLists]-->
Ø <!--[endif]-->
回收内存。
如果选择
KeyValueFulllnformation，它对应的查询数据结构是
KEY_VALUE_FULL_INFORMATION的数据结构。
typedef struct _KEY_VALUE_FULL_INFORMATION {
ULONG TitleIndex;
ULONG Type;
ULONG DataOffset;
ULONG DataLength;
ULONG NameLength;
WCHAR Name[1];
//变量的大小
} KEY_VALUE_FULL_INFORMATION, *PKEY_VALUE_FULL_INFORMATION;
1.1.8.5 枚举子项
在注册表的操作中，还经常有另外两种操作，分别是枚举子项和枚举子键。枚举子项就是事先不知道该项中有多少个子项目，用某个函数将子项一一列举出来。而枚举子键是事先不知道该项中有多少个子键，用某个函数一一将子键列举出来。
DDK
提供了列举子项的
ZwQueryKey
函数和
ZwEnumerateKey
。先看一下这两个函数的声明。
NTSTATUS
ZwQueryKey(
IN HANDLE KeyHandle,
IN KEY_INFORMATION_CLASS KeyInformationClass,
OUT PVOID KeyInformation,
IN ULONG Length,
OUT PULONG ResultLength
);
参数
KeyHandle
为注册表项的句柄。参数
KeylnformationClass
为查询的类别，一般选择
KeyFulllnformation
。参数
Keylnformation
为查询的数据指针。如果
KeylnformationClass
是
KeyFulllnformation
，则该指针指向一个
KEY_FULL_INFORMATION
的数据结构。参数
Length
为数据长度。参数
ResultLength
为实际返回数据的长度。
如果函数成功则返回
STATUS_SUCCESS
，否则返回一个错误代码。
NTSTATUS
ZwEnumerateKey(
IN HANDLE KeyHandle,
IN ULONG Index,
IN KEY_INFORMATION_CLASS KeyInformationClass,
OUT PVOID KeyInformation,
IN ULONG Length,
OUT PULONG ResultLength
);
参数
KeyHandle
为注册表项句柄。参数
Index:
为由
0
开始的索引。参数
KeylnformationClass
为子项的信息类型。参数
Length
为子项信息的长度。参数
ResultLength
为返回子键信息的长度。
如果函数成功则返回
STATUS_SUCCESS
，否则返回一个错误代码。
ZwQueryKey
的作用主要是获得某注册表项究竟有多少个子项，而
ZwEnumerateKey
的作用主要是针对第几个子项获取该子项的具体信息。
在使用
ZwQueryKey
时，可以将参数
KeylnformationClass
指定为
KeyFulllnformation
。这样参数
Keylnformation
就对应一个
KEY_FULL_INFORMATION
的数据结构，该数据结构中的
SubKeys
指明了项中有多少个子项。
KEY_FULL_INFORMATION
数据结构的大小是变长的，所以要调用两次
ZwQueryKey
。第一次获取
KEY_FULL_INFORMATION
数据的长度，第二次真正获取
KEY_FULL_INFORMATION
数据。
在使用
ZwEnumerateKey
时，需要将参数
KeylnformationClass
设置为
KeyBasicInformation
，这样其参数
Keylnformation
兢能对应
KEY_B ASIC_INFORMATION
的数据结构。
同理
KEY_BASIC_INFORMATION
也是变长的数据结构，需要两次调用
ZwEnumerateKey
。第一次获取
KEY_BASIC_INFORMATION
的长度，第二次获取
KEY_BASIC_INFORMATION
数据。
1.1.8.6 枚举子键
和枚举子项类似，枚举子键是通过
ZwQueryKey
和
ZwEnumerateValueKey
两个函数的配合完成的。
ZwEnumerateValueKey
函数的使用和
ZwEnumerateKey
函数的使用类似。
NTSTATUS
ZwEnumerateValueKey(
IN HANDLE KeyHandle,
IN ULONG Index,
IN KEY_VALUE_INFORMATION_CLASS KeyValueInformationClass,
OUT PVOID KeyValueInformation,
IN ULONG Length,
OUT PULONG ResultLength
);
1.1.8.7 WinPcap中注册表操作实例
下列代码是
WinPcap
中对注册操作的实际代码。
PWCHAR getAdaptersList(void)
{
…
/*
*设置一个OBJECT_ATTRIBUTES类型的参数objAttrs，为了后续调用
*其中NDIS_STRING AdapterListKey =
* NDIS_STRING_CONST("//Registry//Machine//System//CurrentControlSet
* //Control//Class//{4D36E972-E325-11CE-BFC1-08002BE10318}");
*/
InitializeObjectAttributes(&objAttrs, &AdapterListKey,
OBJ_CASE_INSENSITIVE, NULL, NULL);
/*打开注册表表项，返回objAttrs中所描述的注册表表项的句柄*/
status = ZwOpenKey(&keyHandle, KEY_READ, &objAttrs);
if (!NT_SUCCESS(status)) {
//打开失败
}
else { //打开成功
ULONG resultLength;
KEY_VALUE_PARTIAL_INFORMATION valueInfo;
CHAR AdapInfo[1024];
UINT i=0;
/*遍历设备链表，获取一个已打开注册表项子项的信息*/ while((status=ZwEnumerateKey(keyHandle,i,KeyBasicInformation,
AdapInfo,sizeof(AdapInfo),&resultLength))==STATUS_SUCCESS)
{
…
/*设置一个OBJECT_ATTRIBUTES类型的参数objAttrs，为了后续调用*/
InitializeObjectAttributes(&objAttrs, &AdapterKeyName,
OBJ_CASE_INSENSITIVE, NULL, NULL);
/*打开注册表表项，返回objAttrs中所描述的注册表表项的句柄*/
status=ZwOpenKey(&ExportKeyHandle,KEY_READ,&objAttrs);
/*查找“Export”键名的键值信息*/
status = ZwQueryValueKey(ExportKeyHandle, &FinalExportKey,
KeyValuePartialInformation, &valueInfo,
sizeof(valueInfo), &resultLength);
if
(!NT_SUCCESS(status) && (status != STATUS_BUFFER_OVERFLOW)) {
//查询失败
}
else { //查询成功
/*计算所需的内存大小*/
…
/*分配内存，用于查询*/
…
if (valueInfoP != NULL) {//分配内存成功
status = ZwQueryValueKey(ExportKeyHandle,
&FinalExportKey,
KeyValuePartialInformation,
valueInfoP,
valueInfoLength, &resultLength);
if (!NT_SUCCESS(status)) {
//查询失败
}
else{//查询成功
…
}
ExFreePool(valueInfoP);
}
else {
//分配用于查询的内存失败
}
}//一次查找“Export”键名的键值信息结束
…
//关闭注册表子项
ZwClose (ExportKeyHandle);
i++;
}//结束while语句
/*关闭注册表项*/
ZwClose (keyHandle);
}
…
}
扫一扫
1792
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
