关于Ring3层的注册表监控

　　最近一直想做远程操作的注册表，将客户端的注册表发送到主控端，遇到两个问题：

　1.不能每次点击TreeControl都是一次请求的发送，太浪费资源。

　2.在客户端的注册表监控效果也不是很好。(驱动不稳定，只想用Ring3层)

　　第一个问题比较好解决，在主控端加一个缓存结构就Ok,但是第二个问题还有一些问题。

常用的注册表监控一般都会使用钩子，Hook有关注册表操作的函数。但是这种方法是针对进程

而言，如果要监控全局，就要对每个进程Inject，这基本不现实。

　　一个使用DETOUR库的RegQueryValueExW函数

 DETOUR_TRAMPOLINE(LONG APIENTRY Real_RegQueryValueExW(HKEY, LPCWSTR, LPDWORD, LPDWORD, LPBYTE, LPDWORD), RegQueryValueExW);
 LONG APIENTRY Mine_RegQueryValueExW(
                                   HKEY hKey,
                                   LPCWSTR lpValueName,
                                   LPDWORD lpReserved,
                                   LPDWORD lpType,
                                   LPBYTE lpData,
                                   LPDWORD lpcbData)
 {
     LONG nRet;
     __try{
         nRet = Real_RegQueryValueExW(hKey, lpValueName, lpReserved, lpType, lpData, lpcbData);
         if(!HOOK_RegQueryValueEx)
             return nRet;
         if(GetCurrentProcessId() == ExplorerPID)
             return nRet;
         if(GetCurrentProcessId() == RegMonPID)
             return nRet;
         if((PID == ) || ((GetCurrentProcessId() == PID) && (PID>)) )
         {
             if(nRet != ERROR_SUCCESS)
                 return nRet;
             COPYDATASTRUCT data;
             PARAMS params = {};
             params.PID = GetCurrentProcessId();
             params.hKey = hKey;

             if(lpValueName == NULL || /*lpType == NULL ||*/ lpData == NULL || lpcbData == NULL)
                 return nRet;

             memcpy(params.buffer1, lpValueName, wcslen(lpValueName)*);

             if(lpType == NULL)
                 params.type = ;
             else
                 params.type = *lpType;

             if(*lpcbData == )
             {
                 return nRet;
             }
             else if(*lpcbData>)
             {
                 memcpy(params.buffer2, lpData, );
                 params.cbBuffer2 = ;
             }
             else
             {
                 memcpy(params.buffer2, lpData, *lpcbData);
                 params.cbBuffer2 = *lpcbData;
             }

             params.result = nRet;

             data.cbData = sizeof(PARAMS);
             data.lpData = &params;
             data.dwData = TYPE_RegQueryValueExW;
             SendMessage(hWnd, WM_COPYDATA, (WPARAM)hWnd, (LPARAM)&data);
         }

     }__finally{
     };
     return nRet;
 }

　　要在Ring3全局监控注册表的变化，只能使用RegNotifyChangeKeyValue微软提供的接口，但得不到具体的改变。

　　MSDN提供的例子：

 #include <windows.h>
 #include <tchar.h>
 #include <stdio.h>

 //void main(int argc, char *argv[])
 void __cdecl _tmain(int argc, TCHAR *argv[])
 {
    DWORD  dwFilter = REG_NOTIFY_CHANGE_NAME |
                      REG_NOTIFY_CHANGE_ATTRIBUTES |
                      REG_NOTIFY_CHANGE_LAST_SET |
                      REG_NOTIFY_CHANGE_SECURITY; 

    HANDLE hEvent;
    HKEY   hMainKey;
    HKEY   hKey;
    LONG   lErrorCode;

    // Display the usage error message.
    if (argc != )
    {
       _tprintf(TEXT("Usage: notify [HKLM|HKU|HKCU|HKCR|HCC] [<subkey>]\n"));
       return;
    }

    // Convert parameters to appropriate handles.
    if (_tcscmp(TEXT("HKLM"), argv[]) == ) hMainKey=HKEY_LOCAL_MACHINE;
    else if(_tcscmp(TEXT("HKU"), argv[]) == ) hMainKey=HKEY_USERS;
    else if(_tcscmp(TEXT("HKCU"), argv[]) == ) hMainKey=HKEY_CURRENT_USER;
    else if(_tcscmp(TEXT("HKCR"), argv[]) == ) hMainKey=HKEY_CLASSES_ROOT;
    else if(_tcscmp(TEXT("HCC"), argv[]) == ) hMainKey=HKEY_CURRENT_CONFIG;
    else
    {
       _tprintf(TEXT("Usage: notify [HKLM|HKU|HKCU|HKCR|HCC] [<subkey>]\n"));
       return;
    }

    // Open a key.
     lErrorCode = RegOpenKeyEx(hMainKey, argv[], , KEY_NOTIFY, &hKey);
    if (lErrorCode != ERROR_SUCCESS)
    {
       _tprintf(TEXT("Error in RegOpenKeyEx (%d).\n"), lErrorCode);
       return;
    }

    // Create an event.
    hEvent = CreateEvent(NULL, TRUE, FALSE, NULL);
    if (hEvent == NULL)
    {
       _tprintf(TEXT("Error in CreateEvent (%d).\n"), GetLastError());
       return;
    }

    // Watch the registry key for a change of value.
    lErrorCode = RegNotifyChangeKeyValue(hKey,
                                         TRUE,
                                         dwFilter,
                                         hEvent,
                                         TRUE);
    if (lErrorCode != ERROR_SUCCESS)
    {
       _tprintf(TEXT("Error in RegNotifyChangeKeyValue (%d).\n"), lErrorCode);
       return;
    }

    // Wait for an event to occur.
    _tprintf(TEXT("Waiting for a change in the specified key...\n"));
    if (WaitForSingleObject(hEvent, INFINITE) == WAIT_FAILED)
    {
       _tprintf(TEXT("Error in WaitForSingleObject (%d).\n"), GetLastError());
       return;
    }
    else _tprintf(TEXT("\nChange has occurred.\n"));

    // Close the key.
    lErrorCode = RegCloseKey(hKey);
    if (lErrorCode != ERROR_SUCCESS)
    {
       _tprintf(TEXT("Error in RegCloseKey (%d).\n"), GetLastError());
       return;
    }

    // Close the handle.
    if (!CloseHandle(hEvent))
    {
       _tprintf(TEXT("Error in CloseHandle.\n"));
       return;
    }
 }

　　暂时先这样解决吧，有什么好的方法再多多积累。