注册表回调笔记

最新推荐文章于 2026-05-31 09:02:24 发布
原创 最新推荐文章于 2026-05-31 09:02:24 发布 · 905 阅读 · 0 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
收录于
windows

当前文章被收录于：

windows
105 篇文章 18 人学习
订阅专栏 查看详情
内核

当前文章被收录于：

内核
85 篇文章 7 人学习
订阅专栏 查看详情
驱动开发

当前文章被收录于：

驱动开发
83 篇文章 11 人学习
订阅专栏 查看详情 
NTSTATUS CmRegisterCallbackEx(
  PEX_CALLBACK_FUNCTION Function,//回调函数
  PCUNICODE_STRING      Altitude,//高度
  PVOID                 Driver,
  PVOID                 Context,
  PLARGE_INTEGER        Cookie,
  PVOID                 Reserved
);


EX_CALLBACK_FUNCTION ExCallbackFunction;

NTSTATUS ExCallbackFunction(
  PVOID CallbackContext,
  PVOID Argument1,
  PVOID Argument2
)
{...}

注册表回调框架是只支持win7以上。

 

ntoskrnl.exe.c 导出函数 常用2000 个内核函数名
05-14
//CmRegisterCallback 监控注册表 //CmRegisterCallbackEx 监控注册表 //PsRemoveCreateThreadNotifyRoutine //取消线程拦截 取消线程监控 //PsRemoveLoadImageNotifyRoutine //取消模块拦截 取消模块监控 //PsRestoreImpersonation //PsResumeProcess //PsReturnPoolQuota //PsReturnProcessNonPagedPoolQuota //PsReturnProcessPagedPoolQuota //PsRevertThreadToSelf //PsRevertToSelf //PsSetContextThread //设置线程环境 //PsSetCreateProcessNotifyRoutine //拦截进程 //PsSetCreateProcessNotifyRoutineEx //拦截进程 进程监控 //PsSetCreateThreadNotifyRoutine //线程监控 线程拦截 //PsSetCurrentThreadPrefetching //PsSetJobUIRestrictionsClass //PsSetLegoNotifyRoutine //PsSetLoadImageNotifyRoutine 拦截模块加载 //PsSetProcessPriorityByClass
ntoskrnl ntoskrnl.exe Win2003系统文件
12-28
ntoskrnl ntoskrnl.exe Win2003系统文件
windows驱动 - 注册表回调
qq726232111的博客
12-27 1294
0x00 函数 CmRegisterCallbackEx() //回调函数绑定 CmUnRegisterCallback() //注销注册表回调 NTSTATUS ExCallbackFunction(PVOID CallbackContext,PVOID Argument1,PVOID Argument2) //注册表回调,具体内容看文档 0x01 代码 #include <ntifs.h> #include <ntddk.h> #include <wdm...
C# + OpenCVSharp实战：手把手教你搞定任意角度模板匹配（附完整源码）
最新发布
weixin_30299709的博客
05-31 467
本文详细介绍了如何使用C#和OpenCVSharp实现工业视觉中的高精度旋转模板匹配技术。通过核心原理分析、图像预处理流水线设计、多角度匹配引擎实现及性能优化方案，帮助开发者突破常规模板匹配的角度限制，适用于自动化生产线和工业质检场景。文章包含完整源码和实战技巧，特别适合需要处理旋转目标的视觉项目开发。
windows 驱动开发基础(三) 注册表回调
pureman_mega的博客
02-19 1329
参考工程路径：C:\WinDDK\7600.16385.1\src\general\registry\regfltr 关于 Transaction （事务），Enlistment（登记)对象的介绍https://docs.microsoft.com/zh-cn/windows-hardware/drivers/kernel/handling-rollback-operations 1.注册表回调使用 // // Register the callback // 函数原型 ...
RegistryCallback routine（CmRegisterCallback 注册表操作监控介绍）
whatday的专栏
09-22 4936
RegistryCallback routine 过滤器驱动程序的常规RegistryCallback可以监视，阻止或修改一个注册表操作。 句法 C ++ EX_CALLBACK_FUNCTION RegistryCallback; NTSTATUS RegistryCallback（ 标签：APIWinHTTP PVO
利用CmRegisterCallback函数在Windows下保护注册表项
diveintokernel的专栏
03-31 4896
<br />一般在Ｗindows下保护注册表有以下几种方法：<br /> <br />1. Ring3 hook <br />　实现简单。可利用微软的Detour库，第三方的mhook库，或者自己实现。<br />　但是如果是做产品的话不得不考虑兼容性的问题，纵使周知，大量的病毒、木马和恶意程序使用同样的方法来隐藏或者保护自身<br />　的注册表项和键值，基本上所有基于行为监控的安全类软件都会向用户报告此类程序为恶意程序。<br />2. Ring0 hook<br />　原理和Ring3 hook基本上
Win64 驱动内核编程-15.回调监控注册表
天使也掉毛
03-13 4930
回调监控注册表     在 WIN32 平台上，监控注册表的手段通常是 SSDT HOOK。不过用 SSDT HOOK 的方式监控注册表实在是太麻烦了，要 HOOK 一大堆函数，还要处理一些 NT6 系统有而 NT5 系统没有的函数。下面我就来介绍一种完胜 SSDT HOOK 监控注册表的方法，效果跟 SSDT HOOK 一样好。这个方法就是使用微软推荐的注册表监控函数：CmRegisterC
驱动开发：内核监控Register注册表回调
微软技术分享
10-27 1万+
中实现了对注册表的枚举，本章将实现对注册表的监控，不同于32位系统在64位系统中，微软为我们提供了两个针对注册表的专用内核监控函数，通过这两个函数可以在不劫持内核API的前提下实现对注册表增加，删除，创建等事件的有效监控，注册表监视通常会通过。其中对于注册表最常用的监控项为以下几种类型，当然为了实现监控则我们必须要使用之前，如果使用之后则只能起到监视而无法做到监控的目的。需传入三个参数，参数一回调函数地址，参数二空余，参数三回调句柄，微软定义如下。，那么只有当注册表被创建才会拦截，此时就会变成拦截创建。
x64回调监控注册表
kernweak的博客
07-18 991
x86下可以使用hook技术，x64下使用回调监控。 主要函数CmRegisterCallback(RegistryCallback, NULL, &CmHandle); 原型 NTSTATUS CmRegisterCallback( PEX_CALLBACK_FUNCTION Function, PVOID Context, PLARG...
7.5 Windows驱动开发：监控Register注册表回调
微软技术分享
11-24 1万+
在笔者前一篇文章`《内核枚举Registry注册表回调》`中实现了对注册表的枚举，本章将实现对注册表的监控，不同于32位系统在64位系统中，微软为我们提供了两个针对注册表的专用内核监控函数，通过这两个函数可以在不劫持内核API的前提下实现对注册表增加，删除，创建等事件的有效监控，注册表监视通常会通过`CmRegisterCallback`创建监控事件并传入自己的回调函数，与该创建对应的是`CmUnRegisterCallback`当注册表监控结束后可用于注销回调。
Nt内核函数大全
10-07
windows内核下的NT函数，包括函数的原型，参数介绍，参数功能，内核开发参考工具。
windows xp 原版ntoskrnl.exe
01-20
windows xp原版的ntoskrnl.exe，提取他原版的开机图片替换到你的SERVER2003系统
Win64 驱动内核编程-32.枚举与删除注册表回调
天使也掉毛
04-04 2678
枚举与删除注册表回调 注册表回调是一个监控注册表读写的回调，它的效果非常明显，一个回调能实现在SSDT上HOOK十几个API的效果。部分游戏保护还会在注册表回调上做功夫，监控service 键的子键，实现双层拦截驱动加载（在映像回调那里还有一层）。而在卡巴斯基等HIPS类软件里，则用来监控自启动等键值。 注册表回调在XP系统上貌似是一个数组，但是从WIN...
6.8 Windows驱动开发：内核枚举Registry注册表回调
热门推荐
微软技术分享
12-01 1万+
Registry注册表回调是Windows操作系统提供的一种机制，它允许开发者在注册表发生变化时拦截并修改注册表的操作。Registry注册表回调是通过操作系统提供的注册表回调机制来实现的。
驱动开发：内核枚举Registry注册表回调
微软技术分享
10-21 1万+
函数基址，然后在该函数起始位置向下搜索，找到这个链表节点，并将其后面的基地址取出来，在上一篇。得到了注册表回调入口地址，接着直接循环遍历输出这个链表即可得到所有的注册表回调。目前系统中有两个回调函数，这一点在第一张图片中也可以得到，枚举是正确的。注册表系统回调的枚举需要通过特征码搜索来实现，首先我们可以定位到。文章中已经介绍了定位方式此处跳过介绍，具体实现代码如下。即可得到数据，如果要遍历下一个链表则只需要。要想得到此处的链表地址，需要先通过。链表节点，取出这个链表地址。注册表通知消息的枚举，与。
遍历注册表回调函数(仿PCHunter CmpBack)
09-28 308
遍历注册表回调函数(仿PCHunterCmpBack) typedefstruct_CAPTURE_REGISTRY_MANAGER { PDEVICE_OBJECTdeviceObject; BOOLEANbReady; LARGE_INTEGERregistryCallbackCookie; LIST_ENTRYlQueuedRegistryEven...
深入Windows服务与注册表操作：回调机制与虚拟化技术解析
weixin_35364187的博客
05-07 431
本章深入探讨了Windows服务的注册与执行机制，特别是服务启动前后的回调函数处理。同时，介绍了注册表虚拟化技术在现代应用程序模型中的应用，以及注册表的性能优化措施。文章通过实例详细解释了如何利用回调机制增强对注册表访问的控制，以及如何通过虚拟化技术实现不同环境下的高效注册表管理。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值