Delphi研究之驱动开发篇（八）-- 注册表

标题：Delphi研究之驱动开发篇（八）-- 注册表
作者：mickeylan
时间：2008-08-25 10:21:01
链接：http://bbs.pediy.com/showthread.php?t=71350

8.1 注册表的结构
注册表（Registry）是基本数据的中心，在系统的设置和管理方面扮演着重要的角色。注册表的结构类似于磁盘的逻辑结构，但是注册表的内容不是磁盘数据的静态组合，而是随系统的工作进程而动态改变。注册表由keys构成，键就像磁盘的目录。最上层的keys叫做root keys。keys本身就是一个容器，装着其它的keys，装在里面的这些keys叫做subkeys或是values，就像磁盘上的文件。values保存着实际数据。对注册表的操作与管理是由Configuration Manager负责的。
root keys有六个：

HKEY_USER
包含所有注册信息；

HKEY_CURRENT_USER
保存着当前用户的注册信息；

HKEY_LOCAL_MACHINE
保存着系统配置信息：硬件设备支持记录，安全策略，用户口令，应用程序设置和服务及驱动程序配置。

HKEY_CURRENT_CONFIG
包含当前硬件配置信息；

HKEY_CLASSES_ROOT
保存着文件关联和COM类的注册数据；

HKEY_PERFORMANCE_DATA
包含着性能信息。

HKEY_PERFORMANCE_DATA 是一个特殊的键，未必会直接用到。在用户模式下，关于性能统计的信息是通过Performance Data Helper库来访问的，这个库实现在模块pdh.dll里。标准程序Performance Monitor正是利用了这个库。除性能统计之外这个键还包含着许多补充信息。例如，用于枚举进程、线程和模块等等的Process Status函数（在psapi.dll里实现）正是从HKEY_PERFORMANCE_DATA键中获得的信息。注册表编辑器Regedit和Regedt32并不能显示出这个键的内容，因此无法编辑。
根键HKEY_CURRENT_USER、HKEY_CURRENT_CONFIG和HKEY_CLASSES_ROOT并不包含什么信息。它们只是链接到注册表其它的子键。

HKEY_CURRENT_USER
链接到子键HKEY_USER\ 系统用户中对应于当前用户的注册信息。

HKEY_CURRENT_CONFIG
链接到子键HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\Current.
HKEY_CLASSES_ROOT
链接到子键HKEY_LOCAL_MACHINE\SOFTWARE\Classes和HKEY_CURRENT_USER\SOFTWARE\Classes.

8.2 在驱动程序中访问注册表
如何在内核模式下访问注册表？对注册表的访问和访问其它命名对象完全相同，即通过对象管理器的名字空间（详细方法见第三章）来访问。为了将注册表名字空间与对象管理器名字空间集成起来，配置管理器（Configuration Manager）在建立了一个名为“Registry”注册键类型的对象（key object）并将其放在对象管理器名字空间的根目录下。对于内核模式组件，有进入注册表的入口点。
所有的内核函数，对命名对象的访问要获得其名称，这个名称位于结构体OBJECT_ATRIBUTES的一个成员中，这个我们以前就知道了。如果对象类型为注册表键，则对象名字应该起始于“\Registry”。我要说的是，我不知道打开HKEY_PERFORMANCE_DATA根键要用什么名字，以及更一般的说，对某个键要用哪个名字。我在这方面作出过努力，但都是白费。如果您了解这方面的东西，还请您教我一下。有两个根键还算简单。

键名称
HKEY_USER "\Registry\User"
HKEY_LOCAL_MACHINE "\Registry\Machine"

对于三个链接到其它地方的键还需要额外的操作。比如说，操作HKEY_CURRENT_CONFIG键需要知道它链接到了子键HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\Current上并用这个根键名字代替。这样就得到了\Registry\Machine\SYSTEM\CurrentControlSet\Hardware Profiles\Current这个名字。很可惜，我们不能使用CTW0和$CTW0宏来定义这个长长的unicode字符串，这个字符串超出了47个符号的限制。对此您可以用自己的方案来解决。

8.3 RegistryWorks驱动程序源代码
现在，当我们熟知根键名字的时候，理解它们就不会太困难。

代码:

unit RegistryWorks;

interface

uses
  nt_status, ntoskrnl, native, winioctl, fcall, macros;

function _DriverEntry(pDriverObject:PDRIVER_OBJECT;
                      pusRegistryPath:PUNICODE_STRING): NTSTATUS; stdcall;

implementation

var
  g_usMachineKeyName: UNICODE_STRING;
  g_usValueName: UNICODE_STRING;
  g_wszStringData: UNICODE_STRING;

procedure CreateKey;
var
  oa: OBJECT_ATTRIBUTES;
  hKey: THANDLE;
  dwDisposition: DWORD;
  RtnCode: NTSTATUS;
begin
  DbgPrint(#13#10'RegistryWorks: *** Creating registry key'#13#10);

  InitializeObjectAttributes(oa, @g_usMachineKeyName,
                             OBJ_CASE_INSENSITIVE, 0, nil);
  RtnCode := ZwCreateKey(hKey, KEY_WRITE, @oa, 0, nil,
                         REG_OPTION_VOLATILE, dwDisposition);
  if  RtnCode = STATUS_SUCCESS then
  begin
    if dwDisposition = REG_CREATED_NEW_KEY then
    begin
      DbgPrint('RegistryWorks: Registry key \Registry\Machine\Software\CoolApp created'#13#10);
    end else if dwDisposition = REG_OPENED_EXISTING_KEY then
    begin
      DbgPrint('RegistryWorks: Registry key \Registry\Machine\Software\CoolApp opened'#13#10);
    end;          
    ZwClose(hKey);
    DbgPrint('RegistryWorks: Registry key handle closed'#13#10);
  end else
  begin
    DbgPrint('RegistryWorks: Can''t create registry key. Status: %08X'#13#10,
             RtnCode);
  end;
end;

procedure SetValueKey;
var
  oa: OBJECT_ATTRIBUTES;
  hKey: THANDLE;
  RtnCode: NTSTATUS;
begin
  DbgPrint(#13#10'RegistryWorks: *** Opening registry key to set new value'#13#10);
  InitializeObjectAttributes(oa, @g_usMachineKeyName,
                             OBJ_CASE_INSENSITIVE, 0, nil);
  RtnCode := ZwOpenKey(hKey, KEY_SET_VALUE, @oa);
  if RtnCode = STATUS_SUCCESS then
  begin
    DbgPrint('RegistryWorks: Registry key openeded'#13#10);
    RtnCode := ZwSetValueKey(hKey, @g_usValueName, 0, REG_SZ,
                             @g_wszStringData,
                             sizeof(g_wszStringData));
    if RtnCode = STATUS_SUCCESS then
    begin
      DbgPrint('RegistryWorks: Registry key value added'#13#10);
    end else
    begin
      DbgPrint('RegistryWorks: Can''t set registry key value. Status: %08X'#13#10,
               RtnCode);
    end;
    ZwClose(hKey);
    DbgPrint('RegistryWorks: Registry key handle closed'#13#10);
  end else
  begin
    DbgPrint('RegistryWorks: Can''t open registry key. Status: %08X'#13#10,
             RtnCode);
  end;
end;

procedure QueryValueKey;
var
  oa: OBJECT_ATTRIBUTES;
  hKey: THANDLE;
  cb: DWORD;
  ppi: PKEY_VALUE_PARTIAL_INFORMATION;
  _as: ANSI_STRING;
  us: UNICODE_STRING;
  RtnCode: NTSTATUS;
begin
  DbgPrint(#13#10'RegistryWorks: *** Opening registry key to read value'#13#10);
  InitializeObjectAttributes(oa, @g_usMachineKeyName,
                             OBJ_CASE_INSENSITIVE, 0, nil);
  RtnCode := ZwOpenKey(hKey, KEY_QUERY_VALUE, @oa);
  if RtnCode = STATUS_SUCCESS then
  begin
    DbgPrint('RegistryWorks: Registry key openeded'#13#10);
    RtnCode := ZwQueryValueKey(hKey, @g_usValueName,
                               KeyValuePartialInformation,
                               nil, 0, cb);
    if cb <> 0 then
    begin
      ppi := ExAllocatePool(PagedPool, cb);
      if ppi <> nil then
      begin
        RtnCode := ZwQueryValueKey(hKey, @g_usValueName,
                                   KeyValuePartialInformation,
                                   ppi, cb, cb);
        if (RtnCode = STATUS_SUCCESS ) and ( cb <> 0) then
        begin
          if ppi^._Type = REG_SZ then
          begin
            //RtlInitUnicodeString(us, @ppi^.Data);
            if RtlUnicodeStringToAnsiString(@_as, @ppi^.Data, true) = STATUS_SUCCESS then
            begin
              DbgPrint('RegistryWorks: Registry key value is: %s'#13#10,
                       _as.Buffer);
              RtlFreeAnsiString(@_as);
            end;
          end;
        end else
        begin
          DbgPrint('RegistryWorks: Can''t query registry key value. Status: %08X'#13#10,
                   RtnCode);
        end;
        ExFreePool(ppi);
      end else
      begin
        DbgPrint('RegistryWorks: Can''t allocate memory. Status: %08X'#13#10,
                 ppi);
      end;
    end else
    begin
      DbgPrint('RegistryWorks: Can''t get bytes count needed for key partial information. Status: %08X'#13#10,
               RtnCode);
    end;
    ZwClose(hKey);
    DbgPrint('RegistryWorks: Registry key handle closed'#13#10);
  end else
  begin
    DbgPrint('RegistryWorks: Can''t open registry key. Status: %08X'#13#10,
             RtnCode);
  end;
end;

procedure DeleteKey;
var
  oa: OBJECT_ATTRIBUTES;
  hKey: THANDLE;
  RtnCode: NTSTATUS;
begin
  DbgPrint(#13#10'RegistryWorks: *** Deleting registry key'#13#10);
  InitializeObjectAttributes(oa, @g_usMachineKeyName,
                             OBJ_CASE_INSENSITIVE, 0, nil);
  RtnCode := ZwOpenKey(hKey, KEY_ALL_ACCESS, @oa);
  if RtnCode = STATUS_SUCCESS then
  begin
    DbgPrint('RegistryWorks: Registry key opened'#13#10);
    RtnCode := ZwDeleteKey(hKey);
    if RtnCode = STATUS_SUCCESS then
    begin
      DbgPrint('RegistryWorks: Registry key deleted'#13#10);
    end else
    begin
      DbgPrint('RegistryWorks: Can''t delete registry key. Status: %08X'#13#10,
               RtnCode);
    end;
    ZwClose(hKey);
    DbgPrint('RegistryWorks: Registry key handle closed'#13#10);
  end else
  begin
    DbgPrint('RegistryWorks: Can''t open registry key. Status: %08X'#13#10,
             RtnCode);
  end;
end;

procedure EnumerateKey;
var
  oa: OBJECT_ATTRIBUTES;
  hKey: THANDLE;
  cb: DWORD;
  pbi: PKEY_BASIC_INFORMATION;
  pfi: PKEY_FULL_INFORMATION;
  _as: ANSI_STRING;
  us: UNICODE_STRING;
  dwSubKeys, iCnt: DWORD;
  pwszKeyName: PWideChar;
  g_usUserKeyName: UNICODE_STRING;
  RtnCode: NTSTATUS;
  lpTemp: PVOID;
begin
  lpTemp := nil;
  DbgPrint(#13#10'RegistryWorks: *** Opening \Registry\User key to enumerate'#13#10);
  RtlInitUnicodeString(g_usUserKeyName, '\Registry\User');

  InitializeObjectAttributes(oa, @g_usUserKeyName,
                             OBJ_CASE_INSENSITIVE, 0, nil);
  RtnCode := ZwOpenKey(hKey, KEY_ENUMERATE_SUB_KEYS, @oa);
  if RtnCode = STATUS_SUCCESS then
  begin
    DbgPrint('RegistryWorks: Registry key openeded'#13#10);
    ZwQueryKey(hKey, KeyFullInformation, lpTemp, 0, cb);
    if cb <> 0 then
    begin
      pfi := ExAllocatePool(PagedPool, cb);
      if pfi <> nil then
      begin
        RtnCode := ZwQueryKey(hKey, KeyFullInformation, PVOID(pfi),
                              cb, cb);
        if (RtnCode = STATUS_SUCCESS ) and ( cb <> 0) then
        begin
          dwSubKeys := pfi^.SubKeys;
          DbgPrint('RegistryWorks: ---------- Starting enumerate subkeys ----------'#13#10);
          iCnt := 0;
          while iCnt < dwSubKeys do
          begin
            ZwEnumerateKey(hKey, iCnt, KeyBasicInformation,
                           lpTemp, 0, cb);
            if cb <> 0 then
            begin
              pbi := ExAllocatePool(PagedPool, cb);
              if pbi <> nil then
              begin
                RtnCode := ZwEnumerateKey(hKey, iCnt,
                                          KeyBasicInformation,
                                          PVOID(pbi), cb, cb);
                if (RtnCode = STATUS_SUCCESS ) and ( cb <> 0) then
                begin
                  cb := pbi^.NameLength + sizeof(WCHAR);
                  pwszKeyName := ExAllocatePool(PagedPool, cb);
                  if pwszKeyName <> nil then
                  begin
                    memset(pwszKeyName, 0, cb);
                    wcsncpy(pwszKeyName, PWideChar(@pbi^._Name), pbi^.NameLength div 2);

                    RtlInitUnicodeString(us, pwszKeyName);
                    if RtlUnicodeStringToAnsiString(@_as, @us, TRUE) = STATUS_SUCCESS then
                    begin
                      DbgPrint('RegistryWorks: %s'#13#10,
                               _as.Buffer);
                      RtlFreeAnsiString(@_as);
                    end;
                    ExFreePool(pwszKeyName);
                  end;
                end else
                begin
                  DbgPrint('RegistryWorks: Can''t enumerate registry keys. Status: %08X'#13#10,
                           RtnCode);
                end;
                ExFreePool(pbi);
              end;
            end;
            inc(iCnt);
          end;
          DbgPrint('RegistryWorks: ------------------------------------------------'#13#10);
        end else
        begin
          DbgPrint('RegistryWorks: Can''t query registry key information. Status: %08X'#13#10,
                   RtnCode);
        end;
        ExFreePool(pfi);
      end else
      begin
        DbgPrint('RegistryWorks: Can''t allocate memory. Status: %08X'#13#10,
                 pfi);
      end;
    end;
    ZwClose(hKey);
    DbgPrint('RegistryWorks: Registry key handle closed'#13#10);
  end else
  begin
    DbgPrint('RegistryWorks: Can''t open registry key. Status: %08X'#13#10,
             RtnCode);
  end;
end;

{驱动程序进入点}
function _DriverEntry(pDriverObject:PDRIVER_OBJECT; pusRegistryPath:PUNICODE_STRING): NTSTATUS;
begin
  DbgPrint(#13#10'RegistryWorks: Entering DriverEntry'#13#10);
  {初始化相关unicode字符串}
  RtlInitUnicodeString(g_usMachineKeyName, '\Registry\Machine\Software\CoolApp');
  RtlInitUnicodeString(g_usValueName, 'SomeData');
  RtlInitUnicodeString(g_wszStringData, 'It''s just a string');
  CreateKey;
  SetValueKey;
  QueryValueKey;
  DeleteKey;
  EnumerateKey;

  DbgPrint(#13#10'RegistryWorks: Leaving DriverEntry'#13#10);
  result := STATUS_DEVICE_CONFIGURATION_ERROR;
end;

end.

驱动程序的代码由几个独立的函数构成：CreateKey、SetValueKey、QueryValueKey、DeleteKey和EnumerateKey，每一个都是“从零开始”操作注册表的，对于学习来说，例子总是最直观的。
8.3.1 注册表键的创建与打开
在CreateKey函数中调用了函数ZwCreateKey，建立新的Registry\Machine\Software\CoolApp键。

代码:

RtnCode := ZwCreateKey(hKey, KEY_WRITE, @oa, 0, nil,
                                         REG_OPTION_VOLATILE, dwDisposition);

标志REG_OPTION_VOLATILE不准将建立的子键写入hive磁盘上的一个注册表文件。这样这个子键只存在到系统下一次加载。在本例中，并不一定非要使用这个标志，我们可以自己删除所有子键。如果想在注册表中较长时间注册这个子键，就不要用这个标志了。

代码:

if  RtnCode = STATUS_SUCCESS then
begin
  if dwDisposition = REG_CREATED_NEW_KEY then
  begin
    DbgPrint('RegistryWorks: Registry key \Registry\Machine\Software\CoolApp created'#13#10);
  end else if dwDisposition = REG_OPENED_EXISTING_KEY then
  begin
    DbgPrint('RegistryWorks: Registry key \Registry\Machine\Software\CoolApp opened'#13#10);
  end;

在成功调用ZwCreateKey后，变量dwDisposition的值定义了是否已创建新的子键（REG_CREATED_NEW_KEY），要是这个子键已在注册表中存在（REG_OPENED_EXISTING_KEY），就已被打开。

代码:

ZwOpenKey(hKey, KEY_SET_VALUE, @oa);
ZwOpenKey(hKey, KEY_QUERY_VALUE, @oa);
ZwOpenKey(hKey, KEY_ALL_ACCESS, @oa);
ZwOpenKey(hKey, KEY_ENUMERATE_SUB_KEYS, @oa);

在剩下的函数中，我们调用ZwOpenKey函数来打开已经存在的键，对相应的访问类型只使用相应的标志。

8.3.2 创建注册表键值
现在，我们来在我们的子键里创建一个字符串键值“SomeData”。

代码:

RtnCode := ZwSetValueKey(hKey, @g_usValueName, 0, REG_SZ,
                             @g_wszStringData,
                             sizeof(g_wszStringData));

常量REG_SZ定义了所创建键值的类型：以零结尾的unicode字符串。系统还有许多其它的类型DDK中有详细描述。

8.3.3 访问注册表键值
我们来获取我们的SomeData的值。

代码:

RtnCode := ZwQueryValueKey(hKey, @g_usValueName,
                          KeyValuePartialInformation,
                          nil, 0, cb);

函数ZwQueryValueKey的第三个参数定义了请求信息的类型。在DDK中定义了三种值：KeyValueBasicInformation、KeyValueFullInformation 和KeyValuePartialInformation，每一个值都有自己相应的结构体：KEY_VALUE_BASIC_INFORMATION、KEY_VALUE_FULL_INFORMATION和KEY_VALUE_PARTIAL_INFORMATION。在本例中，我们想获得键值的内容。对此KeyValuePartialInformation完全适合。
我们事先不知道所获取信息的大小，所以我们调用ZwQueryValueKey时，第四第五个参数分别使用nil（缓冲区指针）和0（缓冲区大小）。函数ZwQueryValueKey计并算出缓冲区所需的大小并将这个值返回到变量cb中（很多但非全部的Zw*函数都是这个样子处理的）。

代码:

if cb <> 0 then
begin
  ppi := ExAllocatePool(PagedPool, cb);
  if ppi <> nil then
  begin
    RtnCode := ZwQueryValueKey(hKey, @g_usValueName,
                              KeyValuePartialInformation,
                              ppi, cb, cb);

分配必需的内存空间，再次调用ZwQueryValueKey现在已经有缓冲区指针了。

代码:

if (RtnCode = STATUS_SUCCESS ) and ( cb <> 0) then
begin
if ppi^._Type = REG_SZ then
begin

在任何情况下，我们都要检查键值类型。
如果是REG_SZ类型的键值，则KEY_VALUE_PARTIAL_INFORMATION结构体的Data域就包含了以零结尾的unicode字符串。我们需要在调试信息中输出这个字符串，所以要将其转换成AnsiString，函数RtlUnicodeStringToAnsiString将unicode字符串转换为ansi字符串。如果最后的参数设置为TRUE，则函数自己分配缓冲区，向那里写入转换的字符串并填充ANSI_STRING结构体（在我们这里是变量_as）。ANSI_STRING的Buffer域将指向所分配的装有转换好的ansi字符串的缓冲区。如果最后一个参数为FALSE，则用于保存ansi字符串的缓冲区就需要事先分配好并将指针放在我们的ANSI_STRING结构体的Buffer域中。在本例中，我们让RtlUnicodeStringToAnsiString函数为我们分配缓冲区。

代码:

if RtlUnicodeStringToAnsiString(@_as, @ppi^.Data, true) = STATUS_SUCCESS then
begin
  DbgPrint('RegistryWorks: Registry key value is: %s'#13#10,
          _as.Buffer);
  RtlFreeAnsiString(@_as);
end;

8.3.4 删除注册表键
我想，这部分不用我讲您也能搞定。
8.3.5 更新注册表键
现在我们来看\Registry\User键下都有些什么。

代码:

ZwQueryKey(hKey, KeyFullInformation, lpTemp, 0, cb);
if cb <> 0 then
begin
  pfi := ExAllocatePool(PagedPool, cb);
  if pfi <> nil then
  begin
    RtnCode := ZwQueryKey(hKey, KeyFullInformation, PVOID(pfi),
                              cb, cb);
    if (RtnCode = STATUS_SUCCESS ) and ( cb <> 0) then
    begin
      dwSubKeys := pfi^.SubKeys;

要组织键的内容就需要知道其下子键/键值的数量。对此我们要使用KeyFullInformation信息类。分配必需的内存并将它传给ZwQueryKey，我们就在变量dwSubKeys中得到了子键/键值的数量。

代码:

iCnt := 0;
while iCnt < dwSubKeys do
begin
  ZwEnumerateKey(hKey, iCnt, KeyBasicInformation,
                 lpTemp, 0, cb);
  if cb <> 0 then
  begin
    pbi := ExAllocatePool(PagedPool, cb);
    if pbi <> nil then
    begin
      RtnCode := ZwEnumerateKey(hKey, iCnt,
                               KeyBasicInformation,
                               PVOID(pbi), cb, cb);
      if (RtnCode = STATUS_SUCCESS ) and ( cb <> 0) then
      begin

我们在一个循环中使用KeyBasicInformation信息类来调用ZwEnumerateKey。就像前面那样，我们对其调用两次，第一次是为了得知信息的大小，第二次是为了获得这项信息本身。

代码:

cb := pbi^.NameLength + sizeof(WCHAR);
pwszKeyName := ExAllocatePool(PagedPool, cb);

在KEY_BASIC_INFORMATION结构体的_Name域返回的是子键/键值的名称，其形式为unicode字符串，但是这个字符串不是以零结尾的。为了在后面将其转换为ansi字符串（为了在调试信息中输出），我们应该将其完善为其分配一个临时缓冲区。

代码:

if pwszKeyName <> nil then
begin
  memset(pwszKeyName, 0, cb);
  wcsncpy(pwszKeyName, PWideChar(@pbi^._Name), pbi^.NameLength div 2);

将临时缓冲区清零，并向其中拷贝子键/键值的名称。

代码:

RtlInitUnicodeString(us, pwszKeyName);
if RtlUnicodeStringToAnsiString(@_as, @us, TRUE) = STATUS_SUCCESS then
begin
  DbgPrint('RegistryWorks: %s'#13#10, _as.Buffer);
  RtlFreeAnsiString(@_as);
end;

我们来做必要的处理并在调试信息中输出子键/键值的名称。

代码:

ExFreePool(pwszKeyName);
end;
end else
begin
        DbgPrint('RegistryWorks: Can''t enumerate registry keys. Status: %08X'#13#10,
                RtnCode);
end;
      ExFreePool(pbi);
end;
end;
  inc(iCnt);
end;

进行必要的资源回收。