Windows内核函数 - 查询注册表

        驱动程序中有时需要对注册表的项进行查询，从而获取注册表的键值。DDK提供的 ZwQueryValueKey 函数可以完成这个任务，其声明如下：

NTSTATUS ZwQueryValueKey(
    IN HANDLE KeyHandle,
    IN PUNICODE_STRING ValueName,
    IN KEY_VALUE_INFORMATION_CLASS KeyValueInformationClass,
    OUT PVOID KeyValueInformation,
    IN ULONG Length,
    OUT PULONG ResultLength
    );
// KeyHandle: 打开的注册表句柄
// ValueName: 要查询的键名
// KeyValueInformationClass：根据 KeyValueInformation 的不同选择不同的查询类别。
// KeyValueInformation: 选择一种查询类别。选择 KeyValueBasicInformation、KeyValueFullInformation 或者 KeyValuePartialInformation。
// Length: 要查询数据的长度
// ResultLength: 实际查询数据的长度
// 返回值：表示查询数据是否成功

        使用ZwQueryValueKey 函数查询注册表单时，需要用 KeyValueInformationClass 选择一种查询方式。这可以是 KeyValueBasicInformation、KeyValueFullInformation 或者 KeyValuePartialInformation中的一种。这分别代表查询基本信息，查询全部信息和查询部分信息，每种查询类型会有对应的一种数据结构获得查询结果。

        一般情况下，选择 KeyValuePartialInformation 就可以查询键值的数据了，它对应的查询数据结构是 KEY_VALUE_PARTIAL_INFORMATION 的数据结构。

typedef struct _KEY_VALUE_PARTIAL_INFORMATION {
    ULONG   TitleIndex;
    ULONG   Type;
    ULONG   DataLength;
    UCHAR   Data[1];            // Variable size
} KEY_VALUE_PARTIAL_INFORMATION, *PKEY_VALUE_PARTIAL_INFORMATION;

        KEY_VALUE_PARTIAL_INFORMATION 的数据结构长度不固定，所以首先要确定这个长度，一般使用 ZwQueryValueKey 分为4个步骤。

1. 使用 ZwQueryValueKey 获取这个数据结构的长度。
2. 分配如此长度的内存，用来查询。
3. 再次调用ZwQueryValueKey, 获取键值。
4. 回收内存。

以下是针对查询注册表的示例代码。

	UNICODE_STRING RegUnicodeStr;
	HANDLE hRegister;

	// 初始化 UNICODE_STRING 字符串
	RtlInitUnicodeString(&RegUnicodeStr,
		MY_REG_SOFTWARE_KEY_NAME);

	OBJECT_ATTRIBUTES objectAttributes;

	// 初始化objectAttributes
	InitializeObjectAttributes(&objectAttributes,
		&RegUnicodeStr,
		OBJ_CASE_INSENSITIVE, // 对大小写敏感
		NULL,
		NULL
		);

	// 打开注册表项
	NTSTATUS ntStatus = ZwOpenKey(&hRegister,
		KEY_ALL_ACCESS,
		&objectAttributes);

	// 判断操作是否成功
	if (NT_SUCCESS(ntStatus))
	{
		KdPrint(("Open register successfully. \n"));
	}

	UNICODE_STRING ValueName;
	// 初始化 ValueName
	RtlInitUnicodeString(&ValueName,
		L"REG_DWORD value");

	// 设置 REG_DWORD 子健
	ULONG ulSize;
	ZwQueryValueKey(hRegister,
		&ValueName,
		KeyValuePartialInformation,
		NULL,
		0,
		&ulSize);

	// 判断操作是否成功
	if (ntStatus == STATUS_OBJECTID_NOT_FOUND || ulSize==0)
	{
		ZwClose(hRegister);
		KdPrint(("The item is not exist. \n"));
		return;
	}

	PKEY_VALUE_PARTIAL_INFORMATION pvpl =
		(PKEY_VALUE_PARTIAL_INFORMATION)ExAllocatePool(PagedPool, ulSize);

	// 查询注册表
	ntStatus = ZwQueryValueKey(hRegister,
		&ValueName,
		KeyValuePartialInformation,
		pvpl,
		ulSize,
		&ulSize);

	// 判断操作是否成功
	if (!NT_SUCCESS(ntStatus))
	{
		ZwClose(hRegister);
		KdPrint(("Read register error. \n"));
		return;
	}

	// 判断是否为REG_DWORD类型
	if (pvpl->Type == REG_DWORD && pvpl->DataLength == sizeof(ULONG))
	{
		PULONG pulValue = (PULONG)pvpl->Data;
		KdPrint(("The value: %d\n", *pulValue));
	}

	ExFreePool(pvpl);

	
	// 初始化 ValueName
	RtlInitUnicodeString(&ValueName, L"REG_SZ value");


	// 读取 REG_SZ 子健
	ntStatus = ZwQueryValueKey(hRegister,
		&ValueName,
		KeyValuePartialInformation,
		NULL,
		0,
		&ulSize
		);

	// 判断操作是否成功
	if (ntStatus == STATUS_OBJECTID_NOT_FOUND || ulSize == 0)
	{
		ZwClose(hRegister);
		KdPrint(("The item is not exist. \n"));
		return;
	}

	// 申请内存
	pvpl = (PKEY_VALUE_PARTIAL_INFORMATION)ExAllocatePool(PagedPool, ulSize);

	// 查询注册表
	ntStatus = ZwQueryValueKey(hRegister,
		&ValueName,
		KeyValuePartialInformation,
		pvpl,
		ulSize,
		&ulSize);

	// 判断操作是否成功
	if (!NT_SUCCESS(ntStatus))
	{
		ZwClose(hRegister);
		KdPrint(("Read register error. \n"));
		return;
	}


	// 判断是否为 REG_SZ 类型
	if (pvpl->Type == REG_SZ)
	{
		KdPrint(("The value: %S\n", pvpl->Data));
	}

	// 关闭句柄
	ZwClose(hRegister);