驱动读写注册表

forwe

注册表项相当于文件夹，注册表子项子文件夹（类似目录）。

1、创建关闭

ZwCreateKey  

2、打开  

ZwOpenKey  

3、添加、修改、注册表键值

ZwSetValueKey  

4、查询  

ZwQueryValueKey  

来查询注册表项。

1）用ZwQueryValueKey 获取数据结构的长度。

2）分配如此长度的内存。

3）再次调用ZwQueryValueKey 查询。

4）回收内存。

5、枚举子项

用ZwQueryKey与ZwEnumerateKey 来枚举子项。

ZwQueryKey获取某注册表项究竟有多少个子项，而ZwEnumerateKey 针对第几个子项获取该子项的具体信息。

我们发现，凡是调用有长度的函数，一般都是两次调用，第一次调用来获得具体查询（使用该函数）需要的内存需要多大长度，第二次调用时来查询具体信息。


6、枚举子键

通过ZwQueryKey与ZwEnumerateValueKey来枚举子键。

7、删除子项

ZwDeleteKey

只能删除没有子项的项目。

8、其它

DDK中定义了一些运行时函数来简化上面的操作。

RtlCreateRegistryKey  创建注册表

RtlCheckRegistryKey  checks for the existence of a given named key in the registry

RtlWriteRegistryValue  写注册表

RtlDeleteRegistryValue  删除注册表

1. #include "ntddk.h"
   
2. 
   
3. #define PAGEDCODE code_seg("PAGE")
   
4. #define LOCKEDCODE code_seg()
   
5. #define INITCODE code_seg("INIT")
   
6. 
   
7. #define PAGEDDATA data_seg("PAGE")
   
8. #define LOCKEDDATA data_seg()
   
9. #define INITDATA data_seg("INIT")
   
10. 
    
11. 
    
12. NTSTATUS MyEnumerateKey(ULONG SubKeys);
    
13. 
    
14. 
    
15. #pragma PAGEDCODE
    
16. NTSTATUS MyCreateKey()
    
17. {
    
18.         NTSTATUS Status;
    
19. 
    
20.         HANDLE hRegister;
    
21.         OBJECT_ATTRIBUTES ObjAttr;
    
22.         UNICODE_STRING usKeyName;
    
23.         ULONG Disposition;
    
24. 
    
25.         RtlInitUnicodeString(&usKeyName, L"\\REGISTRY\\MACHINE\\SYSTEM\\ControlSet001\\Services\\MyKeys");
    
26. 
    
27.         InitializeObjectAttributes(&ObjAttr, &usKeyName, OBJ_CASE_INSENSITIVE, NULL, NULL);
    
28. 
    
29.         Status = ZwCreateKey(&hRegister, KEY_ALL_ACCESS, &ObjAttr, 0, NULL,
    
30.                 REG_OPTION_NON_VOLATILE, &Disposition);
    
31. 
    
32.         if (!NT_SUCCESS(Status))
    
33.         {
    
34.                 KdPrint(("Failed Code:%X", Status));
    
35.                 return Status;
    
36.         }
    
37. 
    
38.         if (Disposition == REG_CREATED_NEW_KEY)
    
39.         {
    
40.                 KdPrint(("create key!\n"));
    
41.         }
    
42.         else
    
43.         {
    
44.                 KdPrint(("open key!\n"));
    
45.         }
    
46. 
    
47. 
    
48.         ZwClose(hRegister);
    
49.         return Status;
    
50. }
    
51. 
    
52. 
    
53. #pragma PAGEDCODE
    
54. NTSTATUS MyOpenKey()
    
55. {
    
56.         NTSTATUS Status;
    
57. 
    
58.         HANDLE hRegister;
    
59.         OBJECT_ATTRIBUTES ObjAttr;
    
60.         UNICODE_STRING usKeyName, usValueKeyName;
    
61.         ULONG ValueKey;
    
62. 
    
63.         RtlInitUnicodeString(&usKeyName, L"\\REGISTRY\\MACHINE\\SYSTEM\\ControlSet001\\Services\\MyKeys");
    
64.         RtlInitUnicodeString(&usValueKeyName, L"MyValueKey");
    
65. 
    
66.         InitializeObjectAttributes(&ObjAttr, &usKeyName, OBJ_CASE_INSENSITIVE, NULL, NULL);
    
67. 
    
68.         Status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &ObjAttr);
    
69. 
    
70.         if (!NT_SUCCESS(Status))
    
71.         {
    
72.                 KdPrint(("Failed Code:%X", Status));
    
73.                 return Status;
    
74.         }
    
75. 
    
76.         KdPrint(("open key success!\n"));
    
77. 
    
78.         ValueKey = 10;
    
79.         Status = ZwSetValueKey(hRegister, &usValueKeyName, 0, REG_DWORD, &ValueKey, sizeof(ULONG));
    
80. 
    
81.         if (!NT_SUCCESS(Status))
    
82.         {
    
83.                 KdPrint(("Failed Code:%X", Status));
    
84.                 return Status;
    
85.         }
    
86. 
    
87.         ZwClose(hRegister);
    
88.         return Status;
    
89. }
    
90. 
    
91. 
    
92. #pragma PAGEDCODE
    
93. NTSTATUS MyQueryValueKey()
    
94. {
    
95.         NTSTATUS Status;
    
96. 
    
97.         HANDLE hRegister;
    
98.         OBJECT_ATTRIBUTES ObjAttr;
    
99.         UNICODE_STRING usKeyName, usValueKeyName;
    
100.         ULONG ResultLength;
     
101.         PKEY_VALUE_BASIC_INFORMATION pKeyValueBasicInfo;
     
102. 
     
103.         RtlInitUnicodeString(&usKeyName, L"\\REGISTRY\\MACHINE\\SYSTEM\\ControlSet001\\Services\\FltMgr");
     
104.         RtlInitUnicodeString(&usValueKeyName, L"Type");
     
105. 
     
106.         InitializeObjectAttributes(&ObjAttr, &usKeyName, OBJ_CASE_INSENSITIVE, NULL, NULL);
     
107. 
     
108.         Status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &ObjAttr);
     
109. 
     
110.         if (!NT_SUCCESS(Status))
     
111.         {
     
112.                 KdPrint(("Failed Code:%X", Status));
     
113.                 return Status;
     
114.         }
     
115. 
     
116.         Status = ZwQueryValueKey(hRegister, &usValueKeyName, KeyValueBasicInformation,
     
117.                 NULL, 0, &ResultLength);
     
118. 
     
119.         if (!NT_SUCCESS(Status) && Status != STATUS_BUFFER_TOO_SMALL)
     
120.         {
     
121.                 KdPrint(("Failed Code:%X", Status));
     
122.                 return Status;
     
123.         }
     
124. 
     
125.         pKeyValueBasicInfo = (PKEY_VALUE_BASIC_INFORMATION)ExAllocatePool(PagedPool, ResultLength);
     
126. 
     
127.         Status = ZwQueryValueKey(hRegister, &usValueKeyName, KeyValueBasicInformation,
     
128.                 pKeyValueBasicInfo, ResultLength, &ResultLength);
     
129. 
     
130.         if (!NT_SUCCESS(Status))
     
131.         {
     
132.                 KdPrint(("Failed Code:%X", Status));
     
133.                 return Status;
     
134.         }
     
135.        
     
136.         KdPrint(("Type: %d", pKeyValueBasicInfo->Type));
     
137.         KdPrint(("Name: %S", pKeyValueBasicInfo->Name));
     
138. 
     
139.         ZwClose(hRegister);
     
140.         ExFreePool(pKeyValueBasicInfo);
     
141.        
     
142.         return Status;
     
143. }
     
144. 
     
145. 
     
146. #pragma PAGEDCODE
     
147. NTSTATUS MyQueryKey()
     
148. {
     
149.         NTSTATUS Status;
     
150. 
     
151.         HANDLE hRegister;
     
152.         OBJECT_ATTRIBUTES ObjAttr;
     
153.         UNICODE_STRING usKeyName;
     
154.         ULONG ResultLength;
     
155.         PKEY_FULL_INFORMATION pKeyFullInfo;
     
156. 
     
157.         RtlInitUnicodeString(&usKeyName, L"\\REGISTRY\\MACHINE\\SYSTEM\\ControlSet001\\Services\\FltMgr");
     
158.        
     
159. 
     
160.         InitializeObjectAttributes(&ObjAttr, &usKeyName, OBJ_CASE_INSENSITIVE, NULL, NULL);
     
161. 
     
162.         Status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &ObjAttr);
     
163. 
     
164.         if (!NT_SUCCESS(Status))
     
165.         {
     
166.                 KdPrint(("Failed Code:%X", Status));
     
167.                 return Status;
     
168.         }
     
169. 
     
170.         Status = ZwQueryKey(hRegister, KeyFullInformation,
     
171.                 NULL, 0, &ResultLength);
     
172. 
     
173.         if (!NT_SUCCESS(Status) && Status != STATUS_BUFFER_TOO_SMALL)
     
174.         {
     
175.                 KdPrint(("Failed Code:%X", Status));
     
176.                 return Status;
     
177.         }
     
178. 
     
179.         pKeyFullInfo = (PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ResultLength);
     
180. 
     
181.         Status = ZwQueryKey(hRegister, KeyFullInformation,
     
182.                 pKeyFullInfo, ResultLength, &ResultLength);
     
183. 
     
184.         if (!NT_SUCCESS(Status))
     
185.         {
     
186.                 KdPrint(("Failed Code:%X", Status));
     
187.                 return Status;
     
188.         }
     
189. 
     
190.         KdPrint(("Subkey: %d", pKeyFullInfo->SubKeys));
     
191. 
     
192.         MyEnumerateKey(pKeyFullInfo->SubKeys);
     
193. 
     
194.         ZwClose(hRegister);
     
195.         ExFreePool(pKeyFullInfo);
     
196. 
     
197.         return Status;
     
198. }
     
199. 
     
200. 
     
201. #pragma PAGEDCODE
     
202. NTSTATUS MyEnumerateKey(ULONG SubKeys)
     
203. {
     
204.         NTSTATUS Status;
     
205. 
     
206.         HANDLE hRegister;
     
207.         OBJECT_ATTRIBUTES ObjAttr;
     
208.         UNICODE_STRING usKeyName;
     
209.         ULONG ResultLength;
     
210.         PKEY_BASIC_INFORMATION pKeyBasicInfo;
     
211.         ULONG Index;
     
212. 
     
213.         RtlInitUnicodeString(&usKeyName, L"\\REGISTRY\\MACHINE\\SYSTEM\\ControlSet001\\Services\\FltMgr");
     
214. 
     
215. 
     
216.         InitializeObjectAttributes(&ObjAttr, &usKeyName, OBJ_CASE_INSENSITIVE, NULL, NULL);
     
217. 
     
218.         Status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &ObjAttr);
     
219. 
     
220.         if (!NT_SUCCESS(Status))
     
221.         {
     
222.                 KdPrint(("Failed Code:%X", Status));
     
223.                 return Status;
     
224.         }
     
225. 
     
226.         for (Index = 0; Index < SubKeys; Index++)
     
227.         {
     
228.                 Status = ZwEnumerateKey(hRegister, Index, KeyBasicInformation, NULL, 0, &ResultLength);
     
229. 
     
230.                 if (!NT_SUCCESS(Status) && Status != STATUS_BUFFER_TOO_SMALL)
     
231.                 {
     
232.                         KdPrint(("Failed Code:%X", Status));
     
233.                         return Status;
     
234.                 }
     
235. 
     
236.                 pKeyBasicInfo = (PKEY_BASIC_INFORMATION)ExAllocatePool(PagedPool, ResultLength);
     
237. 
     
238.                 Status = ZwEnumerateKey(hRegister, Index, KeyBasicInformation, pKeyBasicInfo, ResultLength, &ResultLength);
     
239. 
     
240.                 if (!NT_SUCCESS(Status))
     
241.                 {
     
242.                         KdPrint(("Failed Code:%X", Status));
     
243.                         return Status;
     
244.                 }
     
245. 
     
246. 
     
247.                 KdPrint(("Name:%S\n", pKeyBasicInfo->Name));
     
248. 
     
249.                 ExFreePool(pKeyBasicInfo);
     
250. 
     
251.         }
     
252. 
     
253.        
     
254.         ZwClose(hRegister);
     
255.         return Status;
     
256. 
     
257. }
     
258. 
     
259. 
     
260. #pragma PAGEDCODE
     
261. VOID MyDriverUnload(IN PDRIVER_OBJECT pDriverObject)
     
262. {
     
263. 
     
264.         KdPrint(("DriverEntry unLoading...\n"));
     
265. 
     
266. }
     
267. 
     
268. 
     
269. 
     
270. #pragma INITCODE
     
271. NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING RegistryPath)
     
272. {
     
273.         NTSTATUS status = STATUS_SUCCESS;
     
274. 
     
275.         KdPrint(("%wZ\n", RegistryPath));
     
276. 
     
277.         MyQueryKey();
     
278. 
     
279.         pDriverObject->DriverUnload = MyDriverUnload;
     
280.         return status;
     
281. }

复制代码