注册表R0监控

最新推荐文章于 2026-05-19 05:55:04 发布
原创 最新推荐文章于 2026-05-19 05:55:04 发布 · 768 阅读 · 1
本文深入探讨了Windows系统中注册表R0级别的监控技术，详细讲解了如何实现对注册表关键操作的实时捕获和分析，包括监控函数的使用、事件触发机制以及在系统安全和性能优化中的应用。

函数

//注册一个可监控注册表操作的函数
CmRegisterCallback(回调函数地址,NULL,&返回的handle);//或CmRegisterCallbackEx，可设置高度



NTSTATUS MyRegistryCallback(
__in PVOID CallbackContext,
__in_opt PVOID Argument1,//标识操作类型
REG_NOTIFY_CLASS  __in_opt PVOID Argument2//操作的数据
){
    switch( (REG_NOTIFY_CLASS) Argument1)
    {
        case RegNtPreDeleteKey :
            return HOOK_PreNtDeleteKey((PREG_DELETE_KEY_INFORMATION) Argument2);
        case RegNtPreRenameKey:
            return HOOK_PreNtRenameKey((PREG_RENAME_KEY_INFORMATION) Argument2);
        case RegNtPreCreateKeyEx:
最低0.47元/天 解锁文章
zyorz
关注
简易任务管理器(附带源码)可枚举、关闭进程、句柄、线程等
03-13
简易任务管理器 可枚举、关闭进程、句柄、线程等 附带易语言源码 效果图 http://bbs.eyuyan.com/UploadFile/2010-2/201021519265860568.gif
ntoskrnl.exe.c 导出函数 常用2000 个内核函数名
05-14
//CmRegisterCallback 监控注册表 //CmRegisterCallbackEx 监控注册表 //PsRemoveCreateThreadNotifyRoutine //取消线程拦截 取消线程监控 //PsRemoveLoadImageNotifyRoutine //取消模块拦截 取消模块监控 //PsRestoreImpersonation //PsResumeProcess //PsReturnPoolQuota //PsReturnProcessNonPagedPoolQuota //PsReturnProcessPagedPoolQuota //PsRevertThreadToSelf //PsRevertToSelf //PsSetContextThread //设置线程环境 //PsSetCreateProcessNotifyRoutine //拦截进程 //PsSetCreateProcessNotifyRoutineEx //拦截进程 进程监控 //PsSetCreateThreadNotifyRoutine //线程监控 线程拦截 //PsSetCurrentThreadPrefetching //PsSetJobUIRestrictionsClass //PsSetLegoNotifyRoutine //PsSetLoadImageNotifyRoutine 拦截模块加载 //PsSetProcessPriorityByClass
RegistryCallback routine（CmRegisterCallback 注册表操作监控介绍）
whatday的专栏
09-22 4936
RegistryCallback routine 过滤器驱动程序的常规RegistryCallback可以监视，阻止或修改一个注册表操作。 句法 C ++ EX_CALLBACK_FUNCTION RegistryCallback; NTSTATUS RegistryCallback（ 标签：APIWinHTTP PVO
x64回调监控注册表
kernweak的博客
07-18 991
x86下可以使用hook技术，x64下使用回调监控。 主要函数CmRegisterCallback(RegistryCallback, NULL, &CmHandle); 原型 NTSTATUS CmRegisterCallback( PEX_CALLBACK_FUNCTION Function, PVOID Context, PLARG...
CmRegisterCallback监控注册表框架
Cosmopolitan的博客
09-28 1890
首先用CmRegisterCallback注册注册表回调 记得在Unload函数里面释放注册的回调 RegNtPreDeleteKey: RegNtPreDeleteValueKey： 这里我只监控了上面两个动作 #include <ntddk.h> #define REGISTRY_POOL_TAG 'lxw' LARGE_INTEGER cookie; NTKERNELAPI...
驱动开发：内核监控Register注册表回调
微软技术分享
10-27 1万+
中实现了对注册表的枚举，本章将实现对注册表的监控，不同于32位系统在64位系统中，微软为我们提供了两个针对注册表的专用内核监控函数，通过这两个函数可以在不劫持内核API的前提下实现对注册表增加，删除，创建等事件的有效监控，注册表监视通常会通过。其中对于注册表最常用的监控项为以下几种类型，当然为了实现监控则我们必须要使用之前，如果使用之后则只能起到监视而无法做到监控的目的。需传入三个参数，参数一回调函数地址，参数二空余，参数三回调句柄，微软定义如下。，那么只有当注册表被创建才会拦截，此时就会变成拦截创建。
7.5 Windows驱动开发：监控Register注册表回调
热门推荐
微软技术分享
11-24 1万+
在笔者前一篇文章`《内核枚举Registry注册表回调》`中实现了对注册表的枚举，本章将实现对注册表的监控，不同于32位系统在64位系统中，微软为我们提供了两个针对注册表的专用内核监控函数，通过这两个函数可以在不劫持内核API的前提下实现对注册表增加，删除，创建等事件的有效监控，注册表监视通常会通过`CmRegisterCallback`创建监控事件并传入自己的回调函数，与该创建对应的是`CmUnRegisterCallback`当注册表监控结束后可用于注销回调。
从金蝶KIS报错到SQL Server修复：TDSSNIClient错误0x139f的跨界排查实录
milk8的博客
03-01 216
本文记录了从金蝶KIS报错入手，深入排查并解决SQL Server服务因TDSSNIClient错误0x139f而启动失败的完整过程。核心问题在于老旧SQL Server版本（如2008 R2）缺失对TLS 1.2协议的支持。文章详细分析了错误代码含义，并提供了通过安装特定补丁（如SP3和KB3135244）来修复SSL/TLS加密初始化问题的阶梯式解决方案与验证步骤。
保姆级教程：在Win10/Win11上搞定Intouch2020 R2 SP1安装与软授权（含官方网盘链接）
最新发布
weixin_33671935的博客
05-19 372
本文提供Intouch2020 R2 SP1在Win10/Win11上的详细安装与软授权配置指南，涵盖环境准备、安装流程、授权配置及性能优化等关键步骤。特别针对工业组态软件的安装难点，如系统兼容性、授权文件处理等，提供实战解决方案，帮助工程师高效完成部署。
Windows运维进阶：Win+R魔法命令与注册表深度解析
weixin_44621731的博客
02-09 1052
windows win+R操作魔法及常用注册表
改注册表实现解禁部分系统功能
小流汗黄豆
06-25 2118
全硬核干货，自己动手破机房管理助手的魔掌
r0下进程保护
hongduilanjun的博客
03-07 1515
前言 SSDT 的全称是 System Services Descriptor Table，系统服务描述符表。这个表就是一个把 Ring3 的 Win32 API 和 Ring0 的内核 API 联系起来。SSDT 并不仅仅只包含一个庞大的地址索引表，它还包含着一些其它有用的信息，诸如地址索引的基地址、服务函数个数等。通过修改此表的函数地址可以对常用 Windows 函数及 API 进行 Hook，从而实现对一些关心的系统动作进行过滤、监控的目的。一些 HIPS、防毒软件、系统监控、注册表监控软件往往会采用
NtQueryValueKey
11-25
NtQueryValueKey NtQueryValueKey
注册表监控软件（hook）
05-08
显示每个注册表操作，用到hook，api,dll等方面的技术，对于pe也用到
彻底解决R3nzSkin注册表残留噩梦：从异常分析到根治修复全指南
gitblog_07706的博客
06-11 509
当《英雄联盟》(League of Legends, LOL)玩家使用R3nzSkin这类皮肤修改工具时，最头疼的问题莫过于卸载后注册表残留导致的各种异常——游戏崩溃、皮肤设置错乱、甚至无法重装游戏。本文将深入剖析R3nzSkin注册表清理异常的根本原因，提供一套完整的诊断和修复方案，让你彻底摆脱注册表垃圾困扰。 读完本文你将获得： - 理解R3nzSkin注册表操作的底层原理 - 掌握3种注册...
使用软件检测电脑设置对应的注册表位置
咩图的博客
04-27 1360
目录 通过命令行指令完成win10系统设置 测试环境 实现原理 测试 通过命令行指令完成win10系统设置 问题描述：我们会在windows的系统设置里修改一些设置项，方便自己的使用。我们可以通过鼠标，点点点，就可以随心所欲的配置成自己符合自己使用习惯的系统。但有时在项目上，我们需要通过程序后台做到这一点，就不是一件简单事了。当然啦，我们今天就是要解决这件事的。 测试环境 测试系统：windows 10 测试软件：progressmonitor（进程监控软件，可以监测注册表的变动） 实现原理 由于系统设置项
注册表操作监控x86
zhuhuibeishadiao
04-10 809
Hook_ZwSetValueKey
Win11共享打印机0x00000709错误：从凭证到注册表的双路径修复指南
weixin_28710999的博客
04-12 739
本文详细解析了Win11共享打印机0x00000709错误的成因及解决方案，重点介绍了凭证修复法和注册表修改两种方法。通过身份验证协议调整和注册表项配置，有效解决打印机连接问题，适用于办公室环境中的常见故障排查。
将exe文件添加到注册表中，实现开机时自动运行
m0_62681656的博客
07-02 1592
一、前言在Windows操作系统中，将exe文件的路径添加到注册表下，主要用于实现程序的开机自动运行功能。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值