閱讀內核模式註冊表訪問？

我可以爲用戶模式執行此操作，但是如何監視內核模式註冊表訪問高級別描述？有人曾經提到要寫一些驅動程序（不是真正的驅動程序）來訪問操作系統中的低端驅動程序？：s閱讀內核模式註冊表訪問？

2011-03-14 Tom

您試圖解決什麼問題？這聽起來像是一個重量級解決方案，無論你的潛在問題是什麼。也許有一些更簡單。 – 2011-03-14 14:09:48

我只是想能夠監視內核模式註冊表的加入。在過去，我只能夠監控用戶模式訪問。 – Tom 2011-03-15 12:51:06

你爲什麼想這樣做？與您想到的解決方案相比，什麼是根本問題？ – 2011-03-15 12:55:46

要從內核模式執行此操作，需要使用配置管理器（此模塊處理來自用戶模式和內核模式的所有註冊表訪問）編寫一個驅動程序，該驅動程序將註冊回調。一旦回調被成功註冊。從用戶模式（RegXXX）和內核模式（ZwRegXX）調用註冊表函數將轉到CM，CM會調用您的回調函數，如果您已註冊了該特定函數。您的回調可以註冊爲不同的註冊操作（創建，打開，讀取，寫入等）的前置和後置功能。

查詢http://msdn.microsoft.com/en-us/library/ff545879(v=VS.85).aspx瞭解更多信息

來源

2011-03-16 05:00:10 user661826

閱讀內核模式註冊表訪問？

回答

相關問題