和枚举子项类似,枚举自检是通过ZwQueryKey和ZwEnumerateValueKey两个函数的配合完成的。
ZwEnumerateValueKey函数的使用和ZwEnumerateKey函数的使用类似。
下面的例子演示了如何在驱动程序中枚举子键。
UNICODE_STRING RegUnicodeStr;
HANDLE hRegister;
// 初始化 UNICODE_STRING
RtlInitUnicodeString(&RegUnicodeStr, MY_REG_SOFTWARE_KEY_NAME);
OBJECT_ATTRIBUTES objectAttributes;
// 初始化objectAttributes
InitializeObjectAttributes(&objectAttributes,
&RegUnicodeStr,
OBJ_CASE_INSENSITIVE, // 对大小写敏感
NULL,
NULL
);
// 打开注册表项
NTSTATUS ntStatus = ZwOpenKey(&hRegister,
KEY_ALL_ACCESS,
&objectAttributes);
// 判断操作是否成功
if (NT_SUCCESS(ntStatus))
{
KdPrint(("Open register successfully. \n"));
}
// 第一次调用ZwQueryKey,为了获取PKEY_FULL_INFORMATION 数据的长度
ULONG ulSize;
ZwQueryKey(hRegister,
KeyFullInformation,
NULL,
0,
&ulSize);
PKEY_FULL_INFORMATION pfi =
(PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ulSize);
// 第二次调用ZwQueryKey,为了获取 KEY_FULL_INFORMATION 数据
ZwQueryKey(hRegister,
KeyFullInformation,
pfi,
ulSize,
&ulSize);
for (ULONG i = 0; i < pfi->Values; i++)
{
// 枚举注册表 第一次调用 ZwEnumerateKey, 为了获取 KEY_VALUE_BASIC_INFORMATION 数据的长度
ZwEnumerateValueKey(hRegister,
i,
KeyValueBasicInformation,
NULL,
0,
&ulSize);
PKEY_VALUE_BASIC_INFORMATION pbi =
(PKEY_VALUE_BASIC_INFORMATION)ExAllocatePool(PagedPool, ulSize);
// 枚举注册表 第二次调用 ZwEnumerateKey, 为了获取 KEY_VALUE_BASIC_INFORMATION 数据
ZwEnumerateValueKey(hRegister,
i,
KeyValueBasicInformation,
pbi,
ulSize,
&ulSize);
UNICODE_STRING uniKeyName;
uniKeyName.Length = pbi->NameLength;
uniKeyName.MaximumLength = pbi->NameLength;
uniKeyName.Buffer = pbi->Name;
KdPrint(("The %d sub value name: %wZ\n", i, &uniKeyName));
if (pbi->Type == REG_SZ)
{
KdPrint(("The sub value type : REG_SZ\n"));
}
else if (pbi->Type == REG_MULTI_SZ)
{
KdPrint(("The sub value type : REG_MULTI_SZ\n"));
}
else if (pbi->Type == REG_DWORD)
{
KdPrint(("The sub value type : REG_DWORD\n"));
}
else if (pbi->Type == REG_BINARY)
{
KdPrint(("The sub value type : REG_BINARY\n"));
}
// 回收内存
ExFreePool(pbi);
}
// 回收内存
ExFreePool(pfi);
// 关闭句柄
ZwClose(hRegister);