Win64 驱动内核编程-6.内核里操作注册表

内核里操作注册表 RING0 操作注册表和 RING3 的区别也不大,同样是"获得句柄->执行操作->关闭句柄"的模式,同样也只能使用内核 API 不能使用 WIN32API.不过内核里有一套 RTL 函数,把 Zw系列的注册表函数进行了封装,也就是说,只剩下"执行操作"这一步了. 接下来说说注册表的本质.注册表其实是文件,它存储在 c:\windows\system32\config 这个目录下(打开目录,看到那几个带锁图标的文件就是.为什么带锁?因为…

Win64 驱动内核编程-32.枚举与删除注册表回调

枚举与删除注册表回调注册表回调是一个监控注册表读写的回调,它的效果非常明显,一个回调能实现在SSDT 上 HOOK 十几个 API 的效果.部分游戏保护还会在注册表回调上做功夫,监控 service 键的子键,实现双层拦截驱动加载(在映像回调那里还有一层).而在卡巴斯基等 HIPS 类软件里,则用来监控自启动等键值. 注册表回调在 XP 系统上貌似是一个数组,但是从 WINDOWS 2003 开始,就变成了一个链表.这个链表的头称为 CallbackListHead,可在 CmUnRegist…

c++ 操作注册表

1. 注册表简介注册表是为Windows NT和Windows95中所有32位硬件/驱动和32位应用程序设计的数据文件,用于存储系统和应用程序的设置信息.16位驱动在Winnt (Windows New Technology)下无法工作,所以所有设备都通过注册表来控制,一般这些是通过BIOS(基本输入输出系统)来控制的.在Win95下,16位驱动会继续以实模式方式设备工作,它们使用system.ini来控制.16位应用程序会工作在NT或者Win95 下,它们的程序仍然会参考win.…

C#操作注册表全攻略

相信每个人对注册表并不陌生,在运行里面输入“regedit”就可以打开注册表编辑器了.这东西对Windows系统来说可是比较重要的,也是病毒常常会光顾的地方,比如病毒和恶意软件常常会在注册表的启动项里面写入自己的启动键值来达到自启动的目的,有些病毒还会修改注册表里面来映像劫持杀毒软件,这是破坏系统的第一步.同时,大多软件(软件的序列号和信息)和硬件信息.系统信息.安全模式等等设置都保存在这里,因此系统的健康在很大程度上要依赖注册表的健康. 作为编程开发人员,我们有必要了解注册表…

Process Monitor监控进程操作注册表如何实现？

http://zhidao.baidu.com/link?url=Kqav4qkQSprC5FnpHPOGJvhqvY9fJ9-Vdx9g_SWh4w5VOusdRJo4Vl7qIdrG4LwRJvraB9s9UipTVOgp7NJvLGIXiaXwWjQz5LP0TX_ixyC Process Monitor监控进程操作注册表如何实现? 2014-09-14 14:485203751 | 浏览 1092 次操作系统 Process Monitor这个工具是微软的一个监控进程注册表操作,文…

[转]C#操作注册表

原文链接:http://www.cnblogs.com/txw1958/archive/2012/08/01/csharp-regidit.html 下面我们就来用.NET下托管语言C#注册表操作,主要内容包括: * 注册表项的创建,打开与删除 * 键值的创建(设置值.修改),读取和删除 * 判断注册表项是否存在.判断键值是否存在.准备工作:1:要操作注册表,我们必须要引入必要的命名空间: using Microsoft.Win32; 在这个命名空间里面包含了许多注册表相关的类,足够我们使用了~…

[荐]使用Js操作注册表

使用Js操作注册表要操作注册表需要通过ActiveX控件调用WScript.shell对象,通过该对象的一些方法来操作. WshShell对象:可以在本地运行程序.操纵注册表内容.创建快捷方式或访问系统文件夹.…

.Net操作注册表--un

C#操作注册表导入命名空间 Using MicroSoft.Win32;//64位系统装的64位版本…

C#获取cpu序列号硬盘ID 网卡硬地址以及操作注册表 .

转:http://blog.csdn.net/smartsmile2012/article/details/8682295 #region 获取cpu序列号硬盘ID 网卡硬地址 /**/ /// <summary> /// 获取cpu序列号 /// </summary> /// <returns>string </returns> public static string GetCpuInfo() { string cpuInfo = "&quo…

VBS 操作注册表十六进制

使用VBS操作注册表,通常使用RegRead/RegWrite/RegDelete方法,如: RegRead: 'read.vbs(将以下代码存为read.vbs文件) Dim OperationRegistry Set OperationRegistry=WScript.CreateObject("WScript.Shell") Dim Read_Data1,Read_Data2 Read_Data1=OperationRegistry.RegRead("HKCR\.xxf…

win7 64bit+vs2010 操作注册表

注册表五个根键 HKEY_CLASSES_ROOT--管理文件系统 HKEY_LOCAL_MACHINE--管理当前系统硬件配置 HKEY_LOCAL_USER--管理系统当前用户配置 HKEY_USERS--管理系统的用户信息 HKEY_CURRENT_CONFIG--管理当前用户的系统配置在HKEY_LOCAL_MACHINE\SOFTWARE 目录下新建子键并创建REG_DWORD (32位数值),示例代码: #include <stdio.h> #include <Wi…

How to:Installshield判断操作系统是否为64位，并且为操作注册表进行设置

原文:How to:Installshield判断操作系统是否为64位,并且为操作注册表进行设置 IS脚本操作注册表在64位平台下必须有特殊的设置 if (SYSINFO.bIsWow64) then //如果为64位操作系统 REGDB_OPTIONS = REGDB_OPTION_WOW64_64KEY ; //则为注册表操作进行64位特殊设置 endif; /**底下照常操作注册表即可*/…

C# 访问操作注册表整理

一..net注册表操作简介 .net中Registry 类,RegistryKey 类提供了操作注册表的接口 RegistryValueKind,用于指定操作注册表的数据类型. 二.使用实例 //获取子节点数量 Console.WriteLine(Registry.LocalMachine.SubKeyCount); //获取所有自己点的键值 string[] subs = Registry.LocalMachine.GetSubKeyNames(); foreach (var item in…

Atitit.木马病毒的操作注册表原理系统服务管理器 atiSysService

Atitit.木马病毒的操作注册表原理系统服务管理器 atiSysService 1. atiSysService1 2. atiSysService 原理1 3. Java code1 4. 参考5 1. atiSysService http://localhost:8080/regsitMana/listServices.html 2. atiSysService 原理使用JRegistry读取服务列表此外,读取中文属性值的ucs2的属性读取. 启动类型String roott…

Atitit.操作注册表树形数据库注册表的历史 java版本类库总结

Atitit.操作注册表树形数据库注册表的历史 java版本类库总结 1. 注册表是树形数据库 1 2. 注册表的由来 1 3. Java 操作注册表 2 3.1. 使用Preferences API (限定访问路径了) 2 3.2. 使用JNI 3 3.3. Jregistrykey 推荐 4 3.4. Jregistry 4 4. org.openqa.selenium.os.WindowsUtils 4 4.1. 以及进程管理 4 1. 注册表是树形数据库树形数据库,但不提供类似S…

通过批处理操作注册表实现winform应用中Webbrowser以指定的IE版本加载网页

通过批处理操作注册表实现winform应用中Webbrowser以指定的IE版本加载网页 rem 强制WebBrowser控件使用指定IE版本显示应用的网页 IF EXIST %windir%\SysWOW64 ( reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_BROWSER_EMULATION" /v OraAns.exe…

对Jscript操作注册表接口的一点不解

作者:朱金灿来源:http://blog.csdn.net/clever101 要操作注册表需要通过ActiveX控件调用WScript.shell对象,通过该对象的一些方法来操作.Wshshell对象:可以在本地运行程序.操纵注册表内容.创建快捷方式或访问系统文件夹.操作注册表需要使用 RegRead方法|RegWrite方法|RegDelete方法| 这三个方法.这里的RegWrite方法实际上还担当了创建注册表节点的功能.对于一般的注册表操作,我感觉是够用了.但是我感觉是还缺乏一个查询注…

C#操作注册表(简单方便,兼容X32和X64)

C#操作注册表(简单方便,兼容X32和X64) 大家好,我在这里给大家介绍本人实现的操作注册表的类,简单方便,兼容32位系统和64位系统. 一般大家用C#操作注册的方法是使用命名空间Microsoft.Win32中的RegistryKey,其实它使用起来没有那么方便.我在它的基础上实现了SharpRegistry类,可以简单方便操作注册表.它的源码在 https://github.com/TKT2016/WmnSharpCodes/blob/master/WmnSharpStdCodes/Win…

使用C#操作注册表

这节讲一下使用C#操作注册表. 首先来了解一下,什么是注册表,注册表是Windows中特有的一个东西,百度百科中对其解释如下:Windows注册表(Registry)实质上是一个庞大的数据库,它存储着下面这些内容:用户计算机软.硬件的有关配置和状态信息,应用程序和资源管理器外壳的初始条件.首选项和卸载数据:计算机的整个系统的设置和各种许可,文件扩展名与应用程序的关联,硬件的描述.状态和属性:计算机性能记录和底层的系统状态信息,以及各类其他数据. 也就是说,这是个存储很重要的数据的东西,本文将仅从…

Win64 驱动内核编程-7.内核里操作进程

在内核里操作进程在内核里操作进程,相信是很多对 WINDOWS 内核编程感兴趣的朋友第一个学习的知识点.但在这里,我要让大家失望了,在内核里操作进程没什么特别的,就标准方法而言,还是调用那几个和进程相关的 NATIVE API 而已(当然了,本文所说的进程操作,还包括对线程和 DLL 模块的操作).本文包括 10 个部分:分别是:枚举进程.暂停进程.恢复进程.结束进程.枚举线程.暂停线程.恢复线程.结束线程.枚举 DLL 模块.卸载 DLL 模块. 1.枚举进程.进程就是活动起来的程序.每一个…

Win64 驱动内核编程-5.内核里操作文件

内核里操作文件 RING0 操作文件和 RING3 操作文件在流程上没什么大的区别,也是"获得文件句柄->读/写/删/改->关闭文件句柄"的模式.当然了,只能用内核 API,不能用 WIN32API.在讲解具体的代码之前,先讲解一下文件系统的流程,让大家对整个文件系统有个大概的了解. 假设我们要读写一个文件,无论在 RING3 调用 ReadFile,还是在 RING0 调用 NtReadFile,它们最终会转换为 IRP,发送到文件系统驱动(具体哪个驱动和分区类型相关,…

Win64 驱动内核编程-4.内核里操作字符串

内核里操作字符串字符串本质上就是一段内存,之所以和内存使用分开讲,是因为内核里的字符串太有花样了,细数下来竟然有 4 种字符串!这四种字符串,分别是:CHAR*.WCHAR*.ANSI_STRING.UNICODE_STRING.当然,内核里使用频率最多的是 UNICODE_STRING,其次是 WCHAR*,再次是 CHAR*,而 ANSI_STRING,则几乎没见过有什么内核函数使用. 但其实这四种字符串也不是完全独立的,ANSI_STRING可以看成是CHAR*的安全性扩展,UNICO…

Win64 驱动内核编程-3.内核里使用内存

内核里使用内存内存使用,无非就是申请.复制.设置.释放.在 C 语言里,它们对应的函数是:malloc.memcpy.memset.free:在内核编程里,他们分别对应 ExAllocatePool.RtlMoveMemory. RtlFillMemory.ExFreePool.它们的原型分别是: 需要注意的是,RtlFillMemory 和 memset 的原型不同.ExAllocatePool 和 malloc 的原型也不同.前者只是参数前后调换了一下位置,但是后者则多了一个参数:Pool…

Win64 驱动内核编程-8.内核里的其他常用

内核里的其他常用 1.遍历链表.内核里有很多数据结构,但它们并不是孤立的,内核使用双向链表把它们像糖葫芦一样给串了起来.所以遍历双向链表能获得很多重要的内核数据.举个简单的例子,驱动对象 DriverObject 就是使用双向链表给串起来的,遍历这个链表就可以枚举内核里所有的驱动.示例代码如下 //传入驱动自身的 DriverObject VOID EnumDriver(PDRIVER_OBJECT pDriverObject) { PKLDR_DATA_TABLE_ENTRY entry…

《天书夜读：从汇编语言到windows内核编程》八文件操作与注册表操作

1)Windows运用程序的文件与注册表操作进入R0层之后,都有对应的内核函数实现.在windows内核中,无论打开的是文件.注册表或者设备,都需要使用InitializeObjectAttributes来初始化一个OBJECT_ATTRIBUTES结构体: VOID InitializeObjectAttributes( [out] POBJECT_ATTRIBUTES InitializedAttributes, //OBJECT_ATTRIBUTES的指针 [in] PUNICODE_ST…