RegistryCallback 和 RegCreateKeyEx

Question

我想监控一台 Windows 机器。我创建了一个 windows 服务，我的目的是在进程尝试创建 新的注册表项时收到通知。

我使用RegistryCallback 和以下签名

NTSTATUS RegistryCallback(
  _In_      PVOID CallbackContext,
  _In_opt_  PVOID Argument1,
  _In_opt_  PVOID Argument2
)

RegistryCallback 已使用 CmRegisterCallback 注册。问题是我在每次创建注册表项时都会收到通知，但是我只想在创建新注册表项时收到通知，或者至少要获得该项已经存在的信息，有什么办法吗？

Answer 1

您不能请求特定的通知，您必须全部接收。但是，Argument1 会告诉您正在执行哪种操作，因此您可以只处理您感兴趣的操作。Argument2 包含指向各种结构的指针，具体取决于Argument1 的值，这将为您提供更详细的信息有关操作的信息。例如，当Argument1 是RegNtPostCreateKeyEx 时，Argument2 指向一个REG_POST_OPERATION_INFORMATION 结构，其PreInformation 字段指向一个REG_CREATE_KEY_INFORMATION 结构，其Disposition 字段告诉您密钥是否已经存在。