在Windows上，如何防止注冊表項被修改？

Question

我看到一些防病毒軟件通知我，其他進程正在嘗試修改我的注冊表項，並詢問我是否允許它。 如果在決定之前不修改注冊表，該防病毒軟件如何將其掛起並停止？ 我找不到任何可以執行此類操作的API，這對我的項目至關重要。

謝謝，

鳳

Answer 1

游戲也是如此。 他們劫持了在3D場景中渲染對象的函數調用，然后告訴游戲引擎在所有其他對象之上渲染所有角色，這導致了wallhack。

您可以使用的API（繞行API）（現在不再使用，因為反作弊軟件現在可以阻止它）。 您仍然可以將其用於自己的課程目的。

網路上有許多關於此API的資訊。

http://research.microsoft.com/en-us/projects/detours/

Answer 2

考慮使用RegSetKeySecurity （MSDN）正確保護應用程序注冊表項的安全。

或者，您也可以構造注冊表過濾器內核模式驅動程序。 這樣的驅動程序可以利用CmRegisterCallback / Ex（）服務來篩選注冊表事件。 這是一項艱巨的任務 （tm），但這是我所知道的唯一記錄/支持的方法。

Answer 3

我想您可以看看RegNotifyChangeKeyValue ，但是我認為防病毒不會使用這種方法。 這不會阻止對注冊表進行修改，但可以用來當按鍵被修改為得到通知。

Answer 4

防病毒軟件很可能會鈎住注冊表功能，因此在將請求傳遞給實際功能之前，會先調用其自身的代碼。

請注意，除了少數幾個非常特殊的情況外，在任何其他情況下進行此操作都是可疑的行為。