監控Windows操作系統用戶增刪修改



監控Windows操作系統的用戶信息更改，可以採用監控註冊表來實現。

在註冊表中，用戶和用戶組信息保存在HKEY_LOCAL_MACHINE的SAM\\SAM\\Domains\\Account下面。用戶信息保存在SAM\\SAM\\Domains\\Account\\Users下面；用戶組信息保存在SAM\\SAM\\Domains\\Account\\Aliases下面。

當然可以採用寫註冊表過濾驅動來實現監控，但是寫驅動比較麻煩，而且有時候我們只需要知道註冊表有更改，然後再去獲取用戶信息就OK。

以下代碼實現，當用戶和用戶組有更改時，系統通知事件出來。

#include <Windows.h>
#include <stdio.h>

#define SYS_ACCOUNT_REG_KEY_W   L"SAM\\SAM\\Domains\\Account"
#define SYS_ACCOUNT_REG_KEY_A   "SAM\\SAM\\Domains\\Account"

int main(int argc, char **argv)
{
    HANDLE hEvent;
    LSTATUS ret;
    HKEY hKey;
    DWORD dwRet;

    hEvent = CreateEventW(NULL, FALSE, TRUE, L"RegistryNotify");
    if (NULL == hEvent)
    {
        printf("Create event failed.\n");
        return GetLastError();
    }
    ret = RegOpenKeyExW(HKEY_LOCAL_MACHINE, SYS_ACCOUNT_REG_KEY_W, 0, KEY_NOTIFY, &hKey);
    if (ERROR_SUCCESS != ret)
    {
        CloseHandle(hEvent);
        printf("Open Key %s failed.\n", SYS_ACCOUNT_REG_KEY_A);
        return ret;
    }
    while(TRUE)
    {
        ret = RegNotifyChangeKeyValue(hKey, TRUE, REG_NOTIFY_CHANGE_NAME
            | REG_NOTIFY_CHANGE_ATTRIBUTES
            | REG_NOTIFY_CHANGE_LAST_SET
            | REG_NOTIFY_CHANGE_SECURITY, hEvent, TRUE);
        if (ERROR_SUCCESS != ret)
        {
            printf("RegNotifyChangeKeyValue failed.\n");
            break;
        }
        dwRet = WaitForSingleObject(hEvent, INFINITE);
        if (WAIT_FAILED == dwRet)
        {
            ret = GetLastError();
            printf("WaitForSingleObject failed.\n");
            break;
        }
        else
        {
            printf("System account change occur...\n");
        }
    }
    RegCloseKey(hKey);
    CloseHandle(hEvent);
    return ret;
}