内核中访问HKCU注册表

最新推荐文章于 2025-09-06 13:55:45 发布

原创最新推荐文章于 2025-09-06 13:55:45 发布 · 1.5k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#内核访问HKCU

内核开发专栏收录该内容

29 篇文章

订阅专栏

本文介绍在内核模式下如何正确访问注册表项，包括HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER下的子键。详细解释了如何使用RegistryMachine和RegistryUsers路径，并通过RtlFormatCurrentUserKeyPath函数获取当前登录用户的SID。

在内核中如果要访问HKEY_LOCAL_MACHINE下面的注册表子健，可以用\Registry\Machine代替。

例如，应用层要想访问HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft这个注册表，

对应的在内核中，就得这样使用 \Registry\Machine\SOFTWARE\Microsoft

那么应用层要想访问HKEY_CURRENT_USER\SOFTWARE\Microsoft这个注册表的话，由于每个用户都有一个HKCU注册表项，当用户登录后，就把当前用户的HKCU映射到注册表中。

内核的正确访问方式应该是 \Registry\Users\《当前登录用户的SID》\SOFTWARE\Microsoft

前后都是固定的，如何获取当前用户的SID呢？系统中所有用户的SID都保存在HKEY_USERS下面
在这里插入图片描述
虽然没有找到什么好办法，能直接从内核中获取到当前登录用户的SID，但是微软有个未文档化的函数RtlFormatCurrentUserKeyPath可以直接获取当前登录用户的HKCU

使用该函数之前需要先声明一下函数原型

EXTERN_C NTSTATUS RtlFormatCurrentUserKeyPath(OUT PUNICODE_STRING  RegistryPath);

使用方法

    UNICODE_STRING usCurrentUserKey = { 0 };
	// Get the path of the current user's profile.  
	// e.g.,"\REGISTRY\USER\S-1-5-18"
	status = RtlFormatCurrentUserKeyPath(&usCurrentUserKey);
	if (!NT_SUCCESS(status))
	{
		KdPrint(("Read current user key error, status = 0x%X", status));
		return FALSE;

	}
	KdPrint(("The current user key path: %wZ \n", &usCurrentUserKey));
	
	// Todo

	// Free the current user key name.
	RtlFreeUnicodeString(&usCurrentUserKey);