注册表R0监控

函数

//注册一个可监控注册表操作的函数
CmRegisterCallback(回调函数地址,NULL,&返回的handle);//或CmRegisterCallbackEx，可设置高度



NTSTATUS MyRegistryCallback(
__in PVOID CallbackContext,
__in_opt PVOID Argument1,//标识操作类型
REG_NOTIFY_CLASS  __in_opt PVOID Argument2//操作的数据
){
    switch( (REG_NOTIFY_CLASS) Argument1)
    {
        case RegNtPreDeleteKey :
            return HOOK_PreNtDeleteKey((PREG_DELETE_KEY_INFORMATION) Argument2);
        case RegNtPreRenameKey:
            return HOOK_PreNtRenameKey((PREG_RENAME_KEY_INFORMATION) Argument2);
        case RegNtPreCreateKeyEx