注册表是Windows的核心,日常的许多操作其实最终都是转化成了对注册表的操作,在ring3我们就经常利用注册表达到一些简单而特殊的效果,例如实现自启动等。到了ring0,有关注册表的操作更加频繁,在ring0我们主要使用Zw系列函数,与ZwCreateKey、ZwDeleteKey等。
除此之外,DDK还提供了一系列以Rtl开头的运行时函数,它们可以是对Zw系列函数的封装,可以有效地简化对注册表的操作过程。主要的一些函数列表如下图所示。(限于篇幅的限制,Rtl函数的图片就不贴出了。)
现在我们就通过编写一个程序来枚举指定注册表项的所有子项,代码和运行效果分别如下所示:
NTSTATUS
RegReadWriteTest()
{
UNICODE_STRING ustrRegString;
UNICODE_STRING ustrValueName;
UNICODE_STRING ustrKeyName;
HANDLE hRegister;
ULONG ulSize, i = 0;
OBJECT_ATTRIBUTES obj_attrib;
NTSTATUS status;
PKEY_FULL_INFORMATION pfi;
PKEY_BASIC_INFORMATION pbi;
// 初始化
RtlInitUnicodeString(&ustrRegString,L" \\Registry\\Machine\\SOFTWARE\\DarkShadow\\Filter ");
RtlInitUnicodeString(&ustrValueName, L"FilePath");
InitializeObjectAttributes( &obj_attrib,
&ustrRegString,
OBJ_CASE_INSENSITIVE,
NULL,
NULL);
// 打开注册表
status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &obj_attrib);
if (NT_SUCCESS(status))
{
KdPrint(("[RegTest] ZwOpenKey %wZ Success!", ustrRegString));
}
// 第一次调用是为了获取长度
ZwQueryKey( hRegister, KeyFullInformation, NULL, 0, &ulSize);
pfi = (PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ulSize);
// 第二次调用是为了获取数据
ZwQueryKey( hRegister, KeyFullInformation, pfi, ulSize, &ulSize);
for (i = 0; i < pfi->SubKeys; i++)
{
// 获取长度
ZwEnumerateKey( hRegister, i, KeyBasicInformation, NULL, 0, &ulSize);
pbi = (PKEY_BASIC_INFORMATION)ExAllocatePool(PagedPool, ulSize);
// 获取数据
ZwEnumerateKey( hRegister, i, KeyBasicInformation, pbi, ulSize, &ulSize);
ustrKeyName.Length = (USHORT)pbi->NameLength;
ustrKeyName.Buffer = pbi->Name;
KdPrint(("[RegTest] The %d SubItem Name : %wZ.\n", i, &ustrKeyName));
// 释放内存
ExFreePool(pbi);
}
ExFreePool(pfi);
ZwClose(hRegister);
return STATUS_SUCCESS;
}
除此之外,DDK还提供了一系列以Rtl开头的运行时函数,它们可以是对Zw系列函数的封装,可以有效地简化对注册表的操作过程。主要的一些函数列表如下图所示。(限于篇幅的限制,Rtl函数的图片就不贴出了。)
现在我们就通过编写一个程序来枚举指定注册表项的所有子项,代码和运行效果分别如下所示:
NTSTATUS
RegReadWriteTest()
{
UNICODE_STRING ustrRegString;
UNICODE_STRING ustrValueName;
UNICODE_STRING ustrKeyName;
HANDLE hRegister;
ULONG ulSize, i = 0;
OBJECT_ATTRIBUTES obj_attrib;
NTSTATUS status;
PKEY_FULL_INFORMATION pfi;
PKEY_BASIC_INFORMATION pbi;
// 初始化
RtlInitUnicodeString(&ustrRegString,L" \\Registry\\Machine\\SOFTWARE\\DarkShadow\\Filter ");
RtlInitUnicodeString(&ustrValueName, L"FilePath");
InitializeObjectAttributes( &obj_attrib,
&ustrRegString,
OBJ_CASE_INSENSITIVE,
NULL,
NULL);
// 打开注册表
status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &obj_attrib);
if (NT_SUCCESS(status))
{
KdPrint(("[RegTest] ZwOpenKey %wZ Success!", ustrRegString));
}
// 第一次调用是为了获取长度
ZwQueryKey( hRegister, KeyFullInformation, NULL, 0, &ulSize);
pfi = (PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ulSize);
// 第二次调用是为了获取数据
ZwQueryKey( hRegister, KeyFullInformation, pfi, ulSize, &ulSize);
for (i = 0; i < pfi->SubKeys; i++)
{
// 获取长度
ZwEnumerateKey( hRegister, i, KeyBasicInformation, NULL, 0, &ulSize);
pbi = (PKEY_BASIC_INFORMATION)ExAllocatePool(PagedPool, ulSize);
// 获取数据
ZwEnumerateKey( hRegister, i, KeyBasicInformation, pbi, ulSize, &ulSize);
ustrKeyName.Length = (USHORT)pbi->NameLength;
ustrKeyName.Buffer = pbi->Name;
KdPrint(("[RegTest] The %d SubItem Name : %wZ.\n", i, &ustrKeyName));
// 释放内存
ExFreePool(pbi);
}
ExFreePool(pfi);
ZwClose(hRegister);
return STATUS_SUCCESS;
}