HKEY_CURRENT_USER

Подскажите, пожалуйста, как открыть HKEY_CURRENT_USER\.... из режима ядра?

 

NtCreateKey... ?

 

нет ZwOpenKey... а потом прочитать данные

 

И в чем проблема?

http://www.osronline.com/ddkx/kmarch/k111_4omq.htm
http://www.osronline.com/ddkx/kmarch/k111_55pu.htm

 

Например, функция RtlCreateRegistryKey() с флагом RTL_REGISTRY_USER.

 

Я знаю только как открывать Registry\Machine и Registry\Users, а как
HKEY_CURRENT_USER нет

 

Ключ HKCU у каждого пользователя свой и находится в ключе \Registry\Users\{...}.

 

а как определить какой текущий? я пытался использовать ключ Users\.DEFAULT, но данные в HKEY_CURRENT_USER не появляются

 

Зависит от того, где именно и в каком контексте тебе это нужно.

Читай документацию уже, всё написано в MSDN, ссылку выше давал. Документация первична, а не форум, когда же дойдёт это до вас.

 

Прочесть значение параметра

так я английского не знаю

 

Код (Text):

1. .data
2. CCOUNTED_UNICODE_STRING "\\Registry\\User\\.DEFAULT\\Software\\Mkkm", g_usUserKeyName, 4
3. CCOUNTED_UNICODE_STRING "KeyData", KeyDataValueName, 4
4. CCOUNTED_UNICODE_STRING "\\Registry\\User\\.DEFAULT\\Software\\Mkkm", g_usUserKeyName, 4
5. CCOUNTED_UNICODE_STRING "KeyData", KeyDataValueName, 4
6.  
7. .code
8.  QueryValueKey proc
9.  
10.  local oa:OBJECT_ATTRIBUTES
11.  local hKey:HANDLE
12. LOCAL ppi:PKEY_VALUE_PARTIAL_INFORMATION
13.      lea ecx, oa
14.      InitializeObjectAttributes ecx, offset g_usUserKeyName, OBJ_CASE_INSENSITIVE, NULL, NULL
15. invoke ZwOpenKey, addr hKey, KEY_QUERY_VALUE, ecx
16.          invoke ZwQueryValueKey, hKey, addr KeyDataValueName, \
17.                                  KeyValuePartialInformation, NULL, 0, addr cb
18.  
19.          .if cb != 0
20.             invoke ExAllocatePool, PagedPool, cb
21.              .if eax != NULL
22.                  mov ppi, eax
23.                  invoke ZwQueryValueKey, hKey, addr KeyDataValueName, \
24.                                      KeyValuePartialInformation, ppi, cb, addr cb
25. mov eax, ppi
26. mov zlpRegScanCode, eax
27. sub cb, 12
28. .endif
29. .endif
30.  invoke ZwClose, hKey
31.      ret
32.  
33.  QueryValueKey endp

 

Бред, закрываю. У ТС нет желания решить свою задачу.