Windows内核函数 - 枚举子键

    和枚举子项类似，枚举自检是通过ZwQueryKey和ZwEnumerateValueKey两个函数的配合完成的。
ZwEnumerateValueKey函数的使用和ZwEnumerateKey函数的使用类似。

下面的例子演示了如何在驱动程序中枚举子键。

	UNICODE_STRING RegUnicodeStr;
	HANDLE hRegister;

	// 初始化 UNICODE_STRING
	RtlInitUnicodeString(&RegUnicodeStr, MY_REG_SOFTWARE_KEY_NAME);

	OBJECT_ATTRIBUTES objectAttributes;

	// 初始化objectAttributes
	InitializeObjectAttributes(&objectAttributes,
		&RegUnicodeStr,
		OBJ_CASE_INSENSITIVE, // 对大小写敏感
		NULL,
		NULL
		);

	// 打开注册表项
	NTSTATUS ntStatus = ZwOpenKey(&hRegister,
		KEY_ALL_ACCESS,
		&objectAttributes);

	// 判断操作是否成功
	if (NT_SUCCESS(ntStatus))
	{
		KdPrint(("Open register successfully. \n"));
	}


	// 第一次调用ZwQueryKey，为了获取PKEY_FULL_INFORMATION 数据的长度
	ULONG ulSize;
	ZwQueryKey(hRegister,
		KeyFullInformation,
		NULL,
		0,
		&ulSize);


	PKEY_FULL_INFORMATION pfi =
		(PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ulSize);

	// 第二次调用ZwQueryKey，为了获取 KEY_FULL_INFORMATION 数据
	ZwQueryKey(hRegister,
		KeyFullInformation,
		pfi,
		ulSize,
		&ulSize);


	for (ULONG i = 0; i < pfi->Values; i++)
	{
		// 枚举注册表 第一次调用 ZwEnumerateKey, 为了获取 KEY_VALUE_BASIC_INFORMATION 数据的长度
		ZwEnumerateValueKey(hRegister,
			i,
			KeyValueBasicInformation,
			NULL,
			0,
			&ulSize);

		PKEY_VALUE_BASIC_INFORMATION pbi =
			(PKEY_VALUE_BASIC_INFORMATION)ExAllocatePool(PagedPool, ulSize);


		// 枚举注册表 第二次调用 ZwEnumerateKey, 为了获取 KEY_VALUE_BASIC_INFORMATION 数据
		ZwEnumerateValueKey(hRegister,
			i,
			KeyValueBasicInformation,
			pbi,
			ulSize,
			&ulSize);
		
		UNICODE_STRING uniKeyName;
		uniKeyName.Length = pbi->NameLength;
		uniKeyName.MaximumLength = pbi->NameLength;
		uniKeyName.Buffer = pbi->Name;
		KdPrint(("The %d sub value name: %wZ\n", i, &uniKeyName));

		if (pbi->Type == REG_SZ)
		{
			KdPrint(("The sub value type : REG_SZ\n"));
		}
		else if (pbi->Type == REG_MULTI_SZ)
		{
			KdPrint(("The sub value type : REG_MULTI_SZ\n"));
		}
		else if (pbi->Type == REG_DWORD)
		{
			KdPrint(("The sub value type : REG_DWORD\n"));
		}
		else if (pbi->Type == REG_BINARY)
		{
			KdPrint(("The sub value type : REG_BINARY\n"));
		}
		
		// 回收内存
		ExFreePool(pbi);
	}

	// 回收内存
	ExFreePool(pfi);

	// 关闭句柄
	ZwClose(hRegister);