用於XP的註冊表過濾驅動程序

Question

我想爲Windows XP專門製作註冊表過濾驅動程序。 我知道有官方WINDDK一個例子，但它僅適用 在Windows 7

它甚至有可能開發針對Windows XP註冊表過濾驅動？ 任何類型的代碼/指針將高度讚賞。

Answer 1

您還可以使用Microsoft Detours（或類似軟件包）掛接註冊表API函數。要獲得正確的結果並不是一件容易的事情（仍然會發現錯誤），但是如果您準備寫驅動程序，那麼複雜性就沒有區別了。只是少藍屏。看看ntdll中的Nt或Zw函數。

Answer 2

不，這是不可能的。對於Windows XP，您需要hack the kernel API table。這是不推薦的，但對於Windows XP，它是唯一的選擇。這是Sysinternals RegMon程序用於工作的方式。

Answer 3

是的，這是可能的，我不會推薦它。

首先，您必須勾選SSDT。請注意，掛接SSDT在XP 64位（Patch Guard）中不受支持，您必須瞭解您在做什麼（BSOD hook），不可移植且您的軟件可能被標記爲惡意軟件。

其次，您需要對Key Control Blocks進行逆向工程。當兩個不同的應用程序打開相同的密鑰時，它們會得到兩個不同的句柄，但是KCB對於這兩個線程都是唯一的。 KCB是一個不透明的結構，所以WinDbg是你的朋友。