【驱动笔记4】在驱动中操作注册表

那个谁

注册表是Windows的核心，日常的许多操作其实最终都是转化成了对注册表的操作，在ring3我们就经常利用注册表达到一些简单而特殊的效果，例如实现自启动等。到了ring0，有关注册表的操作更加频繁，在ring0我们主要使用Zw系列函数，与ZwCreateKey、ZwDeleteKey等。
    除此之外，DDK还提供了一系列以Rtl开头的运行时函数，它们可以是对Zw系列函数的封装，可以有效地简化对注册表的操作过程。主要的一些函数列表如下图所示。（限于篇幅的限制，Rtl函数的图片就不贴出了。）

   现在我们就通过编写一个程序来枚举指定注册表项的所有子项，代码和运行效果分别如下所示：
NTSTATUS
RegReadWriteTest()
{
    UNICODE_STRING ustrRegString;
    UNICODE_STRING ustrValueName;
    UNICODE_STRING ustrKeyName;
    HANDLE hRegister;
    ULONG  ulSize, i = 0;
    OBJECT_ATTRIBUTES obj_attrib;
    NTSTATUS status;
    PKEY_FULL_INFORMATION  pfi;
    PKEY_BASIC_INFORMATION pbi;
    // 初始化
RtlInitUnicodeString(&ustrRegString,L"\\Registry\\Machine\\SOFTWARE\\DarkShadow\\Filter");
    RtlInitUnicodeString(&ustrValueName, L"FilePath");
    InitializeObjectAttributes(    &obj_attrib,
                            &ustrRegString,
                            OBJ_CASE_INSENSITIVE,
                            NULL,
                            NULL);
    // 打开注册表
    status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &obj_attrib);
    if (NT_SUCCESS(status))
    {
        KdPrint(("[RegTest] ZwOpenKey %wZ Success!", ustrRegString));
    }
   
    // 第一次调用是为了获取长度
    ZwQueryKey(    hRegister, KeyFullInformation, NULL, 0, &ulSize);
    pfi = (PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ulSize);
    // 第二次调用是为了获取数据
    ZwQueryKey(    hRegister, KeyFullInformation, pfi, ulSize, &ulSize);
    for (i = 0; i < pfi->SubKeys; i++)
    {
        // 获取长度
        ZwEnumerateKey(    hRegister, i, KeyBasicInformation, NULL, 0, &ulSize);
        pbi = (PKEY_BASIC_INFORMATION)ExAllocatePool(PagedPool, ulSize);
        // 获取数据
        ZwEnumerateKey(    hRegister, i, KeyBasicInformation, pbi, ulSize, &ulSize);
        ustrKeyName.Length = (USHORT)pbi->NameLength;
        ustrKeyName.Buffer = pbi->Name;
        KdPrint(("[RegTest] The %d SubItem Name : %wZ.\n", i, &ustrKeyName));
        // 释放内存
        ExFreePool(pbi);
    }
    ExFreePool(pfi);
    ZwClose(hRegister);
    return STATUS_SUCCESS;
}