驱动笔记4：在驱动中操作注册表

    注册表是Windows的核心，日常的许多操作其实最终都是转化成了对注册表的操作，在ring3我们就经常利用注册表达到一些简单而特殊的效果，例如实现自启动等。到了ring0，有关注册表的操作更加频繁，在ring0我们主要使用Zw系列函数，与ZwCreateKey、ZwDeleteKey等。

    除此之外，DDK还提供了一系列以Rtl开头的运行时函数，它们可以是对Zw系列函数的封装，可以有效地简化对注册表的操作过程。主要的一些函数列表如下图所示。（限于篇幅的限制，Rtl函数的图片就不贴出了。）

    现在我们就通过编写一个程序来枚举指定注册表项的所有子项，代码和运行效果分别如下所示：

NTSTATUS
RegReadWriteTest()
{
    UNICODE_STRING ustrRegString;
    UNICODE_STRING ustrValueName;
    UNICODE_STRING ustrKeyName;
    HANDLE hRegister;
    ULONG  ulSize, i = 0;
    OBJECT_ATTRIBUTES obj_attrib;
    NTSTATUS status;
    PKEY_FULL_INFORMATION  pfi;
    PKEY_BASIC_INFORMATION pbi;

    // 初始化
RtlInitUnicodeString(&ustrRegString,L"\Registry\Machine\SOFTWARE\DarkShadow\Filter");
    RtlInitUnicodeString(&ustrValueName, L"FilePath");
    InitializeObjectAttributes(    &obj_attrib,
                            &ustrRegString,
                            OBJ_CASE_INSENSITIVE,
                            NULL,
                            NULL);
    // 打开注册表
    status = ZwOpenKey(&hRegister, KEY_ALL_ACCESS, &obj_attrib);
    if (NT_SUCCESS(status))
    {
        KdPrint(("[RegTest] ZwOpenKey %wZ Success!", ustrRegString));
    }
   
    // 第一次调用是为了获取长度
    ZwQueryKey(    hRegister, KeyFullInformation, NULL, 0, &ulSize);
    pfi = (PKEY_FULL_INFORMATION)ExAllocatePool(PagedPool, ulSize);

    // 第二次调用是为了获取数据
    ZwQueryKey(    hRegister, KeyFullInformation, pfi, ulSize, &ulSize);
    for (i = 0; i < pfi->SubKeys; i++)
    {
        // 获取长度
        ZwEnumerateKey(    hRegister, i, KeyBasicInformation, NULL, 0, &ulSize);
        pbi = (PKEY_BASIC_INFORMATION)ExAllocatePool(PagedPool, ulSize);

        // 获取数据
        ZwEnumerateKey(    hRegister, i, KeyBasicInformation, pbi, ulSize, &ulSize);
        ustrKeyName.Length = (USHORT)pbi->NameLength;
        ustrKeyName.Buffer = pbi->Name;
        KdPrint(("[RegTest] The %d SubItem Name : %wZ. ", i, &ustrKeyName));

        // 释放内存
        ExFreePool(pbi);
    }
    ExFreePool(pfi);
    ZwClose(hRegister);

    return STATUS_SUCCESS;
}