内核中访问HKCU注册表

在内核中如果要访问HKEY_LOCAL_MACHINE下面的注册表子健，可以用\Registry\Machine代替。

例如，应用层要想访问HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft这个注册表，

对应的在内核中，就得这样使用 \Registry\Machine\SOFTWARE\Microsoft

那么应用层要想访问HKEY_CURRENT_USER\SOFTWARE\Microsoft这个注册表的话，由于每个用户都有一个HKCU注册表项，当用户登录后，就把当前用户的HKCU映射到注册表中。

内核的正确访问方式应该是 \Registry\Users\《当前登录用户的SID》\SOFTWARE\Microsoft

前后都是固定的，如何获取当前用户的SID呢？系统中所有用户的SID都保存在HKEY_USERS下面

虽然没有找到什么好办法，能直接从内核中获取到当前登录用户的SID，但是微软有个未文档化的函数RtlFormatCurrentUserKeyPath可以直接获取当前登录用户的HKCU

使用该函数之前需要先声明一下函数原型

EXTERN_C NTSTATUS RtlFormatCurrentUserKeyPath(OUT PUNICODE_STRING  RegistryPath);

使用方法

    UNICODE_STRING usCurrentUserKey = { 0 };
	// Get the path of the current user's profile.  
	// e.g.,"\REGISTRY\USER\S-1-5-18"
	status = RtlFormatCurrentUserKeyPath(&usCurrentUserKey);
	if (!NT_SUCCESS(status))
	{
		KdPrint(("Read current user key error, status = 0x%X", status));
		return FALSE;

	}
	KdPrint(("The current user key path: %wZ \n", &usCurrentUserKey));
	
	// Todo

	// Free the current user key name.
	RtlFreeUnicodeString(&usCurrentUserKey);