在用户态下面,有大把的API可供我们操作注册表,例如RegOpenKey,RegCloseKey等,这些API都是由windows提供给用户态使用的API。
一 注册表中常见数据结构
typedef struct _KEY_BASIC_INFORMATION {
} KEY_BASIC_INFORMATION, *PKEY_BASIC_INFORMATION;
typedef struct _KEY_NODE_INFORMATION {
} KEY_NODE_INFORMATION, *PKEY_NODE_INFORMATION;
typedef _KEY_FULL_INFORMATION {
其中,KEY_BASIC_INFORMATION表示一个键下面所有的子键的信息;
KEY_NODE_INFORMATION表示该键的所有信息;
KEY_FULL_INFORMATION表示该键的所有信息,包括自身和子键的信息;
二 API函数概述
1.ZwCreateKey:打开或者创建一个新的注册表键;
2.ZwOpenKey:打开一个已在的注册表键;
3.ZwFlushKey:
4.ZwQueryKey:查询某注册表项所属的类,以及子键的数量和长度;
5.ZwQueryValueKey:查询某注册表项的所有键值信息;
6.ZwEnumerateKey:查询某子项的所有信息;
7.ZwEnumerateValueKey:获取某注册表子键的所有信息;
8.ZwClose:关闭注册表句柄;
三 注册表操作。
1.路径的表示方式
2.注册表基本操作
(1)枚举注册表键下面的所有子项:利用ZwQueryKey和ZwEnumerateKey完成。
间。
(2)枚举子项下面的某对应名字的子键的内容值
如下例:
RtlInitUnicodeString( &RegUnicodeKeyName,L"DisplayName");
InitializeObjectAttributes(&objectAttributes,pStrKey, OBJ_CASE_INSENSITIVE,NULL,NULL );
ntStatus = ZwOpenKey( &hRegister,GENERIC_READ,&objectAttributes);
ntStatus = ZwQueryValueKey(hRegister,&RegUnicodeKeyName,KeyValueFullInformation,NULL,0,&ulSize);
pvfi =(PKEY_VALUE_FULL_INFORMATION)ExAllocatePool(PagedPool,ulSize);
ZwQueryValueKey(hRegister,&RegUnicodeKeyName,KeyValueFullInformation,pvfi,ulSize,&ulSize);
调用流程不在敖述,大致同上面类似,只是最后取子键值的时候,调用ZwQueryValueKey获取,对于KeyValueFullInformation值,该值记载了子键对应的名字和内容,内容在名字之后,偏移是根据DataOffset获取的。
(3)枚举子项下面的所有子键信息
InitializeObjectAttribut
ntStatus = ZwOpenKey( &hRegister,KEY_ALL_ACCESS, &objectAttributes);
ZwQueryKey(hRegister,KeyFullInformation,NULL,0,&ulSize);
pfi=(PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool,ulSize);
ZwQueryKey(hRegister,KeyFullInformation,pfi,ulSize,&ulSize);
for ( i=0;i<pfi->Values;i++)
{
上面的流程首先打开某注册表子项,调用ZwQueryKey获取该子项对应的子键信息(数目和长度),然后调用ZwEnumeratueKey遍历该子项下面的所有子键信息。