在内核中如果要访问HKEY_LOCAL_MACHINE下面的注册表子健,可以用\Registry\Machine代替。
例如,应用层要想访问HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
这个注册表,
对应的在内核中,就得这样使用 \Registry\Machine\SOFTWARE\Microsoft
那么应用层要想访问HKEY_CURRENT_USER\SOFTWARE\Microsoft
这个注册表的话,由于每个用户都有一个HKCU注册表项,当用户登录后,就把当前用户的HKCU映射到注册表中。
内核的正确访问方式应该是 \Registry\Users\《当前登录用户的SID》\SOFTWARE\Microsoft
前后都是固定的,如何获取当前用户的SID呢?系统中所有用户的SID都保存在HKEY_USERS下面
虽然没有找到什么好办法,能直接从内核中获取到当前登录用户的SID,但是微软有个未文档化的函数RtlFormatCurrentUserKeyPath可以直接获取当前登录用户的HKCU
使用该函数之前需要先声明一下函数原型
EXTERN_C NTSTATUS RtlFormatCurrentUserKeyPath(OUT PUNICODE_STRING RegistryPath);
使用方法
UNICODE_STRING usCurrentUserKey = { 0 };
// Get the path of the current user's profile.
// e.g.,"\REGISTRY\USER\S-1-5-18"
status = RtlFormatCurrentUserKeyPath(&usCurrentUserKey);
if (!NT_SUCCESS(status))
{
KdPrint(("Read current user key error, status = 0x%X", status));
return FALSE;
}
KdPrint(("The current user key path: %wZ \n", &usCurrentUserKey));
// Todo
// Free the current user key name.
RtlFreeUnicodeString(&usCurrentUserKey);