內核中訪問HKCU註冊表

在內核中如果要訪問HKEY_LOCAL_MACHINE下面的註冊表子健，可以用\Registry\Machine代替。

例如，應用層要想訪問HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft這個註冊表，

對應的在內核中，就得這樣使用 \Registry\Machine\SOFTWARE\Microsoft

那麼應用層要想訪問HKEY_CURRENT_USER\SOFTWARE\Microsoft這個註冊表的話，由於每個用戶都有一個HKCU註冊表項，當用戶登錄後，就把當前用戶的HKCU映射到註冊表中。

內核的正確訪問方式應該是 \Registry\Users\《當前登錄用戶的SID》\SOFTWARE\Microsoft

前後都是固定的，如何獲取當前用戶的SID呢？系統中所有用戶的SID都保存在HKEY_USERS下面

雖然沒有找到什麼好辦法，能直接從內核中獲取到當前登錄用戶的SID，但是微軟有個未文檔化的函數RtlFormatCurrentUserKeyPath可以直接獲取當前登錄用戶的HKCU

使用該函數之前需要先聲明一下函數原型

EXTERN_C NTSTATUS RtlFormatCurrentUserKeyPath(OUT PUNICODE_STRING  RegistryPath);

使用方法

    UNICODE_STRING usCurrentUserKey = { 0 };
	// Get the path of the current user's profile.  
	// e.g.,"\REGISTRY\USER\S-1-5-18"
	status = RtlFormatCurrentUserKeyPath(&usCurrentUserKey);
	if (!NT_SUCCESS(status))
	{
		KdPrint(("Read current user key error, status = 0x%X", status));
		return FALSE;

	}
	KdPrint(("The current user key path: %wZ \n", &usCurrentUserKey));
	
	// Todo

	// Free the current user key name.
	RtlFreeUnicodeString(&usCurrentUserKey);