KeyHanlde 回溯出完整的注册表键路径

最新推荐文章于 2024-09-14 22:25:22 发布

sorawa

最新推荐文章于 2024-09-14 22:25:22 发布

阅读量625

点赞数

分类专栏：内核驱动文章标签： string null ddk object 测试

本文链接：https://blog.csdn.net/sorawa/article/details/6420426

版权

本文介绍了在测试过程中遇到的蓝屏问题，以及如何通过不同方法，如ZwQueryKey、PCM结构和ObQueryNameString，来获取注册表键的完整路径。重点讲述了利用ObQueryNameString从注册表结构指针中回溯完整注册表键路径的实现过程。

摘要由CSDN通过智能技术生成

今天测试这个很无奈的蓝了多次屏...才发现DDK用SEH并不是能解决一切的问题

查找资料,归类都几种方法

1.ZwQueryKey

这种方法并不能获得完整路径

2.PCM结构.可以..

3.获得注册表结构指针,然后ObQueryNameString

#pragma PAGEDCODE
NTSTATUS __stdcall HookNtSetValueKey(

            IN HANDLE               KeyHandle,
            IN PUNICODE_STRING      ValueName,
            IN ULONG                TitleIndex OPTIONAL,
            IN ULONG                Type,
            IN PVOID                Data,
            IN ULONG                DataSize )
{
int i;
UNICODE_STRING oni;
UNICODE_STRING usName;
ULONG ReturnLen=0;
PVOID pKeyInfo;
POBJECT_NAME_INFORMATION pOni;

__try
{

   if(STATUS_SUCCESS!=(ObReferenceObjectByHandle(KeyHandle,KEY_READ,NULL,KernelMode,&pKeyInfo,NULL)))
   {
    KdP