注册表R0监控

函数

//注册一个可监控注册表操作的函数CmRegisterCallback(回调函数地址,NULL,&返回的handle);//或CmRegisterCallbackEx，可设置高度NTSTATUS MyRegistryCallback(__in PVOID CallbackContext,__in_opt PVOID Argument1,//标识操作类型REG_NOTIFY_CLASS  __in_opt PVOID Argument2//操作的数据){    switch( (REG_NOTIFY_CLASS) Argument1)    {        case RegNtPreDeleteKey :            return HOOK_PreNtDeleteKey((PREG_DELETE_KEY_INFORMATION) Argument2);        case RegNtPreRenameKey:            return HOOK_PreNtRenameKey((PREG_RENAME_KEY_INFORMATION) Argument2);        case RegNtPreCreateKeyEx:    // pre 操作            return HOOK_PreNtCreateKeyEx((PREG_CREATE_KEY_INFORMATION) Argument2);        case RegNtPostCreateKeyEx :    // post 操作            return HOOK_PostNtCreateKeyEx((PRGG_POST_OPERATION_INFORMATION );    }}//详情见文档