WO2012152212A1 - 一种注册表操作的执行方法及装置 - Google Patents

Description

一种注册表操作的执行方法及装置

技术领域

本申请涉及操作系统穿透的技术领域， 特别是涉及一种注册表操作 的执行方法和一种注册表操作的执行装置。 背景技术

在面对复杂问题的时候， 人们往往会釆用分而治之的方法分割、 缩 小问题的范围， 这一点在操作系统的设计中亦是如此， Windows 操作系 统借助分层的设计思想解决复杂的问题， 这一做法带来了可移植性、 可 扩展性等优点。 不过， 由于在设计理论上存在着安全性缺陷 （例如缺乏 完整性校验机制等）， 高可扩展性的另一方面也意味着系统存在大量的被 篡改可能。 例如， 安全软件在操作 （创建、 打开、 枚举、 读写、 删除等） 自身、 系统或恶意程序的注册表键值时， 往往希望访问的过程真实可信， 但是微软 Windows 操作系统的分层式结构决定了其调用链上存在数据 流被篡改的风险。 因此， 保证注册表操作过程的真实、 可靠成了安全软 件的一个基本要求。 从操作系统的角度看， 注册表操作的执行过程存在 着如下潜在的篡改点：

参考图 1 所示的操作系统注册表操作执行流的示意图， 在执行注册 表操作釆用如下分层调用的方式：

调用者 101 调用内核接口层 102 , 内核接口层 102调用内核执行层

103 , 内核执行层 103调用注册表解析例程 104, 注册表解析例程 104调 用 Cm*注册表实现例程 105 , Cm*注册表实现例程 105调用第三方驱动 106和 HvpGetCellPaged/HvpGetCellMapped对象例程等 107。 其中， 调用 者 101和内核接口层 102属于操作系统用户态， 内核执行层 103、 注册表 解析例程 104、 Cm*注册表实现例程 105、 第三方驱动 106 和 HvpGetCellPaged/HvpGetCellMapped对象例程等 107属于操作系统内核 态。

从操作系统的角度看， 注册表操作执行流存在着如下潜在的篡改点：

1 )内核接口层的用户态 IAT Hook ( Import Address Table Hook, 导入 表钩挂） /EAT Hook ( Export Address Table Hook, 导出表钩挂）；

2 ) 内核接口层的用户态 Inline Hook (内联钩挂）；

3 )内核接口层调用内核执行层时的 Int 2E (中断） /SysEnter Hook (用 户态进入内核态钩挂）；

4 ) 内核执行层的 Native API SSDT Hook ( System Service Dispatch Table Hook, 系统服务分派表钩挂）；

5 ) 内核执行层的 Native API Inline Hook;

6 ) 注册表解析例程的 Object Parse Routine Hook (对象解析例程钩 挂）；

7 ) Cm*注册表实现例程的 Cm* Routine Hook;

8 ) Cm*注册表实现例程 105调用第三方驱动 106时的 CmpCallBack 回调机制；

9 ) HvpGetCellPaged/HvpGetCellMapped Object Routine Hook (对象 例程钩挂）。

传统安全软件厂商虽然意识到了种种注册表操作调用被劫持的可能 性， 但是现有的解决方案大多只考虑了操作系统用户态的劫持风险， 在 操作系统内核态的攻防上往往体现出较为明显的能力缺失， 驱动级恶意 程序 （Rootkit )对抗能力偏弱。

因此， 目前需要本领域技术人员迫切解决的一个技术问题就是： 提 出一种注册表操作的执行机制， 以增强和驱动级恶意程序攻防的对抗能 力， 并避免因注册表操作干扰而导致安全软件间产生不兼容的潜在可能 性。 发明内容

本申请的目的之一是提供一种注册表操作的执行方法， 以增强和驱 动级恶意程序攻防的对抗能力， 并避免因注册表操作干扰而导致安全软 件间产生不兼容的潜在可能性。

本申请还提供了一种注册表操作的执行装置， 用以保证上述方法在 实际中的应用及实现。

为了解决上述问题， 本申请实施例公开了一种注册表操作的执行方 法， 包括：

获取注册表操作请求， 所述请求中包括调用者输入参数；

依据所述调用者输入参数设置注册表内核执行逻辑， 所述内核执行 逻辑包括： 篡改点检测修复逻辑和注册表函数调用逻辑；

执行所述篡改点检测修复逻辑， 具体为， 检测预置的内核执行流篡 改点， 并在所述内核执行流篡改点的原始值发生变化时， 恢复所述内核 执行流篡改点的原始值；

釆用所述注册表函数调用逻辑， 调用对应的注册表函数。

优选地， 所述的方法还包括：

在调用完所述注册表的函数后， 将所述内核执行流篡改, ^的原始值 改回变化值。

优选地， 所述预置的内核执行流篡改点包括：

注册表对象解析例程钩挂；

Cm*注册表实现例程调用第三方驱动时的 CmpCallBack回调机制； Cm*注册表函数内联挂钩；

HvpGetCellPaged/HvpGetCellMapped对象例程钩挂。

优选地， 所述检测预置的内核执行流篡改点， 并在内核执行流篡改 点的原始值发生变化时恢复所述篡改点原始值的步骤具体包括：

子步骤 Sl、 检测注册表对象解析例程钩挂的原始值是否发生改变， 若是， 则执行子步骤 S2, 否则， 执行子步骤 S3;

子步骤 S2、 恢复所述注册表对象解析例程钩挂的原始值， 转子步骤

S3;

子步骤 S3、 调用 Cm*注册表实现例程， 检测 Cm*注册表函数内联挂 钩的原始值是否发生改变， 若是， 则执行子步骤 S4, 否则， 执行子步骤

S5;

子步骤 S4、 恢复所述 Cm*注册表函数内联挂钩的原始值， 转子步骤

S5;

子步骤 S5、 阻断 CmpCallBack回调机制， 转子步骤 S6;

子步骤 S6、 检测 HvpGetCellPaged/HvpGetCellMapped对象例程钩挂 的原始值是否发生改变， 若是， 则执行子步骤 S7, 否则结束；

子步骤 S7、 恢复所述 HvpGetCellPaged/HvpGetCellMapped对象例程 钩挂的原始值。

优选地， 所述内核执行流篡改点的原始值在初始化时获得， 所述内 核执行流篡改点的变化值緩存在内核内存中。

优选地， 在获取注册表操作请求之前， 还包括：

调用者发起注册表操作请求， 调用对应的注册表操作接口例程； 其 中， 所述请求中包括调用者输入参数；

依据系统平台的类型构建内核态结构参数， 依据所述内核态结构参 数生成相应的注册表操作控制码， 并发送所述注册表操作控制码至操作 系统内核态驱动。

优选地， 各注册表操作接口例程包括窄字符例程和宽字符例程， 在 构建内核态结构参数之前， 所述的方法还包括：

所述注册表操作接口窄字符例程将调用者输入参数中的 ANSI 相关 参数转换为 UNICODE类型， 并调用对应的注册表操作接口宽字符例程。

优选地， 在设置注册表内核执行逻辑之前， 所述的方法还包括： 依据所述注册表操作请求校验调用者输入参数， 若校验通过， 则执 行设置注册表内核执行逻辑的步骤。

优选地， 所述调用者输入参数具有用户态地址； 在设置注册表内核 执行逻辑之前， 所述的方法还包括：

重构所述用户态地址至内核态内存空间。

优选地， 所述的方法， 还包括： 若调用所述注册表的函数成功， 则返回相应的句柄；

若调用所述注册表的函数失败， 则生成错误码并返回用户态。

优选地， 所述注册表操作接口例程与 WINDOWS标准 API—致， 包 括： 注册表键创建例程 BRegCreateKey、 注册表增强键创建例程 BRegCreateKeyEx, 注册表键打开例程 BRegOpenKey、 注册表增强键打 开例程 BRegOpenKeyEx、 注册表增强查询值例程 BRegQuery ValueEx、 注 册表设置值例程 BRegSetValueEx、 注册表枚举键例程 BRegEnumKey、 注 册表增强枚举键例程 BRegEnumKeyEx、 注册表枚举值例程 BRegEnum Value、 注册表删除键例程 BRegDeleteKey、 注册表增强删除键 例程 BRegDeleteKeyEx、注册表删除值例程 BRegDelete Value和 /或注册表 关闭句柄例程 BRegCloseKey。

优 选 地 ， 所 述 控 制 码 包 括 ： 注 册 表 创 建 控 制 码 REGCTL— CREATE— KEY、 注册表打开控制码 REGCTL— OPEN— KEY、 注 册表查询值控制码 REGCTL— QUERY— VALUE— KEY、 注册表设置值控制 码 REGCTL— SET— VALUE— KEY 、 注 册 表 枚 举 键 控 制 码 REGCTL— ENUMERATE— KEY 、 注 册 表 枚 举 值 控 制 码 REGCTL— ENUMERATE— VALUE— KEY 、 注 册 表删 除键 控 制 码 REGCTL— DELETE— KEY 和 / 或 注 册 表 删 除 值 控 制 码 REGCTX— DELETE— VALUE— KEY。 本申请实施例还公开了一种注册表操作的执行装置， 包括： 请求获取模块， 设置为获取注册表操作请求， 所述请求中包括调用 者输入参数；

内核执行逻辑设置模块， 设置为依据所述调用者输入参数设置注册 表内核执行逻辑， 所述内核执行逻辑包括： 篡改点检测修复逻辑和注册 表函数调用逻辑；

篡改点检测修复逻辑执行模块， 设置为执行所述篡改点检测修复逻 辑， 具体为， 检测预置的内核执行流篡改点， 并在所述内核执行流篡改 点的原始值发生变化时， 恢复所述内核执行流篡改点的原始值；

注册表函数调用逻辑执行模块， 设置为釆用所述注册表函数调用逻 辑， 调用对应的注册表函数。

优选地， 所述的装置还包括：

篡改点回写模块， 设置为在调用完所述注册表的函数后， 将所述内 核执行流篡改点的原始值改回变化值。

优选地， 所述预置的内核执行流篡改点包括：

注册表对象解析例程钩挂；

Cm*注册表实现例程调用第三方驱动时的 CmpCallBack回调机制； Cm*注册表函数内联挂钩；

HvpGetCellPaged/HvpGetCellMapped对象例程钩挂。

优选地， 所述内核执行流篡改点的原始值在初始化时获得， 所述内 核执行流篡改点的变化值緩存在内核内存中。

优选地， 所述的装置还包括：

用户态请求发送模块， 设置为发起注册表操作请求， 调用对应的注 册表操作接口例程； 其中， 所述请求中包括调用者输入参数；

控制码发送模块， 设置为依据系统平台的类型构建内核态结构参数， 依据所述内核态结构参数生成相应的注册表操作控制码， 并发送所述注 册表操作控制码至操作系统内核态驱动。

优选地， 所述的装置还包括：

参数校验模块， 设置为依据所述注册表操作请求校验调用者输入参 数， 若校验通过， 则调用内核执行逻辑设置模块。

优选地， 所述调用者输入参数具有用户态地址； 所述的装置还包括： 地址重构模块， 设置为重构所述用户态地址至内核态内存空间。 优选地， 所述的装置还包括：

句柄返回模块， 设置为在调用所述注册表的函数成功时， 返回相应 的句柄；

错误码返回模块， 设置为在调用所述注册表的函数失败时， 生成错 误码并返回用户态。

本申请实施例还公开了一种在其上记录有用于执行一种注册表操作 的执行方法的程序的计算机可读记录介质， 其中， 所述一种注册表操作 的执行方法， 包括：

获取注册表操作请求， 所述请求中包括调用者输入参数；

依据所述调用者输入参数设置注册表内核执行逻辑， 所述内核执行 逻辑包括： 篡改点检测修复逻辑和注册表函数调用逻辑；

执行所述篡改点检测修复逻辑， 具体为， 检测预置的内核执行流篡 改点， 并在所述内核执行流篡改点的原始值发生变化时， 恢复所述内核 执行流篡改点的原始值；

釆用所述注册表函数调用逻辑， 调用对应的注册表函数。 与现有技术相比， 本申请具有以下优点：

本申请基于注册表行为的全生命周期构建注册表操作的可信环境， 在操作系统用户态接口完整实现一套注册表操作调用库， 内核态驱动接 收到来自用户态的注册表操作请求后， 会对请求中包含的调用者输入参 数进行校验， 若校验通过， 则可以通过构建 — PARSE— CONTEXT (上下 文解析） 结构来设置注册表函数调用逻辑， 以及， 设置在注册表函数调 用之前执行的篡改点检测修复逻辑，即自己主动去"模拟"内核执行层的行 为， 然后通过执行所述篡改点检测修复逻辑和注册表函数调用逻辑， 检 测 / 恢复对象解析挂钩、 阻断内核注册表回调机制等方法， 使第三方驱 动被穿透 （或称之为旁路， bypass ), 从而保证注册表操作请求环境的真 实、 可信。 并且， 内核同步调用返回用户态句柄信息以及调用状态。 本 申请提出了一种注册表穿透操作的整体解决方案， 不仅提供了操作系统 用户态的攻防， 还进一步提供了操作系统内核态的攻防， 该方案一方面 可有效避免因注册表操作干扰而导致安全软件间产生不兼容的潜在可能 性； 另一方面， 该方案能有效增强和驱动级恶意程序攻防的对抗能力。 附图说明

图 1是一种操作系统注册表操作执行过程的示意图；

图 2是本申请的一种注册表操作的执行方法实施例 1的步骤流程图； 图 3是本申请中检测 /恢复内核执行流篡改点的步骤流程图； 图 4是本申请的一种注册表操作的执行方法实施例 2的步骤流程图； 图 5是本申请的一种注册表操作的执行装置实施例的结构框图。 具体实施方式

为使本申请的上述目的、 特征和优点能够更加明显易懂， 下面结合 附图和具体实施方式对本申请作进一步详细的说明。

本申请实施例的核心构思之一在于， 基于注册表行为的全生命周期 构建注册表操作的可信环境， 在操作系统用户态接口完整实现一套注册 表操作调用库， 内核态驱动接收到来自用户态的注册表操作请求后， 会 对请求中包含的调用者输入参数进行校验， 若校验通过， 则可以通过构 建 —PARSE— CONTEXT (上下文解析 )结构来设置注册表函数调用逻辑， 以及， 设置在注册表函数调用之前执行的篡改点检测修复逻辑， 即自己 主动去 "模拟 "内核执行层的行为，然后通过执行所述篡改点检测修复逻辑 和注册表函数调用逻辑，，检测 / 恢复对象解析挂钩、 阻断内核注册表回 调机制等方法， 使第三方驱动被穿透 （或称之为旁路， bypass ), 从而保 证注册表操作请求环境的真实、 可信。 并且， 内核同步调用返回用户态 句柄信息以及调用状态。 本申请提出了一种注册表穿透操作的整体解决 方案， 不仅提供了操作系统用户态的攻防， 还进一步提供了操作系统内 核态的攻防， 该方案一方面可有效避免因注册表操作干扰而导致安全软 件间产生不兼容的潜在可能性； 另一方面， 该方案能有效增强和驱动级 恶意程序攻防的对抗能力。

参考图 2,示出了本申请的一种注册表操作的执行方法实施例 1的步 骤流程图， 具体可以包括以下步骤：

步骤 201、 获取注册表操作请求， 所述请求中包括调用者输入参数； 步骤 202、 依据所述调用者输入参数设置注册表内核执行逻辑， 所述 内核执行逻辑包括： 篡改点检测修复逻辑和注册表函数调用逻辑；

在具体实现中， 当获取到注册表操作请求， 会对请求中包含的调用 者输入参数进行校验，若校验通过，则可以通过构建 —PARSE— CONTEXT (上下文解析） 结构来设置注册表函数调用逻辑， 以及， 设置在注册表 函数调用之前执行的篡改点检测修复逻辑。本实施例即通过主动去"模拟" 内核执行层， 自己实现构建 —PARSE— CONTEXT 结构后， 再去调用系统 底层函数。

在本申请的另一种优选实施例中，还可以通过"伪造"内核的方法，把 磁盘上的内核文件影射到内存， 结合重定位后， 完整的提取出相关执行 层函数（因为是完整提取，所以其内部包括"构建 —PARSE— CONTEXT 结 构，，）。

当然， 上述设置注册表内核执行逻辑的方法仅仅用作示例， 本领域 技术人员根据实际情况釆用任一种方式设置注册表内核执行逻辑均是可 行的， 本申请对此不作限制。

步骤 203、 执行所述篡改点检测修复逻辑， 具体为， 检测预置的内核 执行流篡改点， 并在所述内核执行流篡改点的原始值发生变化时， 恢复 所述内核执行流篡改点的原始值；

在具体实现中， 所述预置的内核执行流篡改点可以包括： 注册表对 象解析例程钩挂； Cm*注册表实现例程调用第三方驱动时的 CmpCallBack 回 调 机 制 ； Cm* 注 册 表 函 数 内 联 挂 钩 ； 以 及 ， HvpGetCellPaged/HvpGetCellMapped对象例程钩挂。各内核执行流篡改点 的原始值可以在系统初始化时获得。

当然， 上述内核执行流篡改点仅仅用作示例， 所述预置的内核执行 流篡改点可以由本领域技术人员按照实际需求任意设置， 本申请对此无 需加以限制。

参考图 3 , 在本申请的一种优选实施例中， 所述检测预置的内核执行 流篡改点， 并在内核执行流篡改点的原始值发生变化时恢复所述篡改点 原始值的步骤具体可以包括以下子步骤：

子步骤 Sl、 检测注册表对象解析例程钩挂的原始值是否发生改变， 若是， 则执行子步骤 S2, 否则， 执行子步骤 S3;

子步骤 S2、 恢复所述注册表对象解析例程钩挂的原始值， 转子步骤

S3;

子步骤 S3、 调用 Cm*注册表实现例程， 检测 Cm*注册表函数内联挂 钩的原始值是否发生改变， 若是， 则执行子步骤 S4, 否则， 执行子步骤 S5;

子步骤 S4、 恢复所述 Cm*注册表函数内联挂钩的原始值， 转子步骤

S5;

子步骤 S5、 阻断 CmpCallBack回调机制， 转子步骤 S6;

子步骤 S6、 检测 HvpGetCellPaged/HvpGetCellMapped对象例程钩挂 的原始值是否发生改变， 若是， 则执行子步骤 S7, 否则结束；

子步骤 S7、 恢复所述 HvpGetCellPaged/HvpGetCellMapped对象例程 钩挂的原始值。

在具体实现中， 如检测到某个内核执行流篡改点发生变化， 则可记 录其变化值在内核态内存空间， 以便在注册表函数调用完成后进行回写。

当然， 上述篡改点的检测及修复方法仅仅用作示例， 本领域技术人 员依据实际需求任意设置所述篡改, i的检 及修复操作过程都是可行 的， 例如， 可以先统一检测， 再对发生变化的篡改点统一恢复， 本申请 对此不作限制。

步骤 204、 釆用所述注册表函数调用逻辑， 调用对应的注册表函数。 在具体实现中， 本申请实施例还可以包括如下步骤：

步骤 205、 在调用完所述注册表的函数后， 将所述内核执行流篡改点 的原始值改回变化值。

在实际中， 某些内核执行流篡改点是因为被其它的安全软件改写而 发生变化， 故在系统底层注册表的实现函数调用完成后， 为保证其它安 全软件的正常运行， 需要对所述内核执行流篡改点进行回写， 具体可以 从内核态内存空间中提取在恢复原始值过程中保存的变化值， 将对应的 内核执行流篡改点写回该变化值。

当注册表函数调用完成后， 注册表操作执行流将继续调用注册表解 析例程， 再由注册表解析例程调用 Cm*注册表实现例程， Cm*注册表实 现例程直接调用 HvpGetCellPaged/HvpGetCellMapped 对象例程； 由于 CmpCallBack回调机制被阻断， 故 Cm*注册表实现例程将不再调用第三 方驱动， 从而使得第三方驱动 （其他安全软件、 驱动级恶意程序）被穿 透。 参考图 4,示出了本申请的一种注册表操作的执行方法实施例 2的步 骤流程图， 具体可以包括：

步骤 401、 加载注册表操作接口例程， 获取预置的内核执行流篡改点 的原始值；

公知的是， 例程是某个系统对外提供的功能接口或服务的集合。 比 如操作系统的 API、 服务等就是例程。

作为具体应用的一种示例， 所述注册表操作接口例程可以包括： 注 册表键创 建例程 BRegCreateKey、 注册表增 强键创 建例程 BRegCreateKeyEx, 注册表键打开例程 BRegOpenKey、 注册表增强键打 开例程 BRegOpenKeyEx、 注册表增强查询值例程 BRegQuery ValueEx、 注 册表设置值例程 BRegSetValueEx、 注册表枚举键例程 BRegEnumKey、 注 册表增强枚举键例程 BRegEnumKeyEx、 注册表枚举值例程 BRegEnum Value、 注册表删除键例程 BRegDeleteKey、 注册表增强删除键 例程 BRegDeleteKeyEx、注册表删除值例程 BRegDelete Value和 /或注册表 关闭句柄例程 BRegCloseKey。 所述注册表操作接口例程的设置， 如调用 约定、 调用参数和对应的 WINDOWS标准 API—致。 上述每个例程均包 括窄字符例程和宽字符例程， 例如对于 BRegCreateKey 而言， 包括窄字 符 例 程 BRegCreateKeyA 和 宽 字 符 例 程 BRegCreateKeyW , BRegCreateKeyA会转换输入参数为 UNICODE 类型， BRegCreateKeyW 实际完成参数转换、 控制码通信等。

步骤 402、 调用者发起注册表操作请求， 调用对应的注册表操作接口 例程； 其中， 所述请求中包括调用者输入参数；

步骤 403、 若所述注册表操作接口例程为窄字符例程， 则将调用者输 入参数中的 ANSI相关参数转换为 UNICODE类型，并调用对应的注册表 操作接口宽字符例程；

公知的是， ANSI 中的字符釆用 8bit, 而 UNICODE 中的字符釆用 16bit。 （对于字符来说 ANSI以单字节存放英文字符， 以双字节存放中文 等字符，而 Unicode下， 英文和中文的字符都以双字节存放）。

当然， 若在实际中直接调用的是宽字符例程， 则无需执行本步骤。 步骤 404、 依据系统平台的类型构建内核态结构参数， 依据所述内核 态结构参数生成相应的注册表操作控制码， 并发送所述注册表操作控制 码至操作系统内核态驱动；

所述系统平台的类型包括 32位、 64位以及 32位兼容模式。 作为本 申请一种具体应用的示例， 与所述注册表操作接口例程对应的控制码包 括： 注册表创建控制码 REGCTL— CREATE— KEY、 注册表打开控制码 REGCTL— OPEN— KEY 、 注 册 表 查 询 值 控 制 码 REGCTL— QUERY— VALUE— KEY 、 注 册 表 设 置 值 控 制 码 REGCTL SET VALUE KEY 、 注 册 表 枚 举 键 控 制 码 REGCTL— ENUMERATE— KEY 、 注 册 表 枚 举 值 控 制 码 REGCTL— ENUMERATE— VALUE— KEY 、 注 册 表删 除键 控 制 码 REGCTL— DELETE— KEY 和 / 或 注 册 表 删 除 值 控 制 码 REGCTL— DELETE— VALUE— KEY。 所述控制码定义了操作系统用户态和 内核态驱动通信时的统一标识。

在实际中， 操作系统用户态和内核态驱动通信时输入、 输出緩冲区 可以釆用 METHOD— BUFFERED方式传输。 METHOD— BUFFERED方式 为： 先分配緩冲， 再从这个緩冲 copy数据， 緩冲区大小是输入緩冲和输 出緩冲间空间较大的那个。 读緩冲被 copy到新的緩冲。 在返回前， 只是 copy返回值到相同的緩冲。 返回值被放到 10— STATUS— BLOCK , 10管 理器 copy数据到输出緩冲。

步骤 405、 操作系统内核态获取注册表操作请求， 校验调用者输入参 数， 并重构 （Captured ) 所述用户态地址至内核态内存空间；

步骤 406、 若输入参数校验通过， 则依据所述调用者输入参数构建 —PARSE— CONTEXT 结构， 以设置注册表函数调用逻辑， 并设置注册表 内核执行逻辑；

步骤 407、 执行所述篡改点检测修复逻辑， 具体为， 检测预置的内核 执行流篡改点， 并在所述内核执行流篡改点的原始值发生变化时， 恢复 所述内核执行流篡改点的原始值；

步骤 408、 釆用所述注册表函数调用逻辑， 调用对应的注册表函数； 若调用成功， 则执行步骤 409; 若调用失败， 则执行步骤 410;

步骤 409、 返回相应的句柄；

步骤 410、 生成错误码并返回用户态；

在具体实现中， 如果调用失败， 用户态接口可以设置相应的错误码， 这样， 调用者线程可以通过 GetLastError 例程得到详细的错误信息。

步骤 411、 在调用完所述注册表的函数后， 将所述内核执行流篡改点 的原始值改回变化值。 为使本领域技术人员更好地理解本申请， 以下通过以注册表创建过 程为例详细说明本申请。

( 1 ) 调用者进程发起 BRegCreateKeyA 注册表创建请求；

( 2 ) BRegCreateKeyA 例程转换 ANSI 相关参数为 UNICODE 类 型并调用 BRegCreateKeyW 例程；

( 3 ) BRegCreateKeyW 例程判断系统平台 （ 32位、 64位或 32位兼 容模式）构建结构参数， 发送控制码 REGCTL— CREATE— KEY 并同步等 待返回；

( 4 ) BRegCreateKeyW 例程内核部分接收用户态请求， 校验输入参 数， Captured 地址到内核内存；

( 5 ) BRegCreateKeyW 例程构建 —PARSE— CONTEXT 结构， 调用 系统底层注册表实现函数； 在调用之前执行以下篡改点检测修复操作：

Al、 检测、 恢复潜在的注册表对象解析例程挂钩问题；

A2、 检测、 恢复潜在的 CmpCallback 内核回调问题；

A3、 检测、 恢复潜在的 Cm* 级注册表函数内联挂钩问题；

A4、 检测、 恢复潜在的 HvpGetCellPaged / HvpGetCellMapped 对象 例程挂钩问题。

( 6 )如调用成功则返回相应的句柄； 如例程调用错误， 驱动返回用 户态相应的错误码。

( 7 )同步请求返回， 如果调用失败， 用户态接口设置相应的错误码， 这样， 调用者线程可以通过 GetLastError 例程得到详细的错误信息。

需要说明的是， 对于方法实施例， 为了简单描述， 故将其都表述为 一系列的动作组合， 但是本领域技术人员应该知悉， 本申请并不受所描 述的动作顺序的限制， 因为依据本申请， 某些步骤可以釆用其他顺序或 者同时进行。 其次， 本领域技术人员也应该知悉， 说明书中所描述的实 施例均属于优选实施例， 所涉及的动作和模块并不一定是本申请所必须 的。 参考图 5 ,示出了本申请的一种注册表操作的执行装置实施例的结构 框图， 具体可以包括以下模块：

请求获取模块 51 , 设置为获取注册表操作请求， 所述请求中包括调 用者输入参数；

内核执行逻辑设置模块 52, 设置为依据所述调用者输入参数设置注 册表内核执行逻辑， 所述内核执行逻辑包括： 篡改点检测修复逻辑和注 册表函数调用逻辑；

篡改点检测修复逻辑执行模块 53 , 设置为执行所述篡改点检测修复 逻辑， 具体为， 检测预置的内核执行流篡改点， 并在所述内核执行流篡 改点的原始值发生变化时， 恢复所述内核执行流篡改点的原始值； 注册表函数调用逻辑执行模块 54 , 设置为釆用所述注册表函数调用 逻辑， 调用对应的注册表函数。

在具体实现中， 所述的装置还可以包括以下模块：

篡改点回写模块 55 , 设置为在调用完所述注册表的函数后， 将所述 内核执行流篡改点的原始值改回变化值。

在本申请的一种优选实施例中， 所述预置的内核执行流篡改点可以 包括：

注册表对象解析例程钩挂；

Cm*注册表实现例程调用第三方驱动时的 CmpCallBack回调机制； Cm*注册表函数内联挂钩；

HvpGetCellPaged/HvpGetCellMapped对象例程钩挂。

在实际中， 所述内核执行流篡改点的原始值可以在初始化时获得， 所述内核执行流篡改点的变化值可以緩存在内核内存中。

在本申请的一种优选实施例中， 所述的装置还可以包括以下模块： 用户态请求发送模块， 设置为发起注册表操作请求， 调用对应的注 册表操作接口例程； 其中， 所述请求中包括调用者输入参数；

控制码发送模块， 设置为依据系统平台的类型构建内核态结构参数， 依据所述内核态结构参数生成相应的注册表操作控制码， 并发送所述注 册表操作控制码至操作系统内核态驱动。

在具体实现中， 所述的装置还可以包括以下模块：

参数校验模块， 设置为依据所述注册表操作请求校验调用者输入参 数， 若校验通过， 则调用内核执行逻辑设置模块。

作为具体应用的一种示例， 所述调用者输入参数具有用户态地址； 所述的装置还可以包括以下模块：

地址重构模块， 设置为重构所述用户态地址至内核态内存空间。 在具体实现中， 所述的装置还可以包括以下模块：

句柄返回模块， 设置为在调用所述注册表的函数成功时， 返回相应 的句柄；

错误码返回模块， 设置为在调用所述注册表的函数失败时， 生成错 误码并返回用户态。

由于所述装置实施例基本相应于前述图 2和图 4所示的方法实施例， 故本实施例的描述中未详尽之处， 可以参见前述实施例中的相关说明， 在此就不赘述了。

本申请实施例还公开了一种在其上记录有用于执行一种注册表操作 的执行方法的程序的计算机可读记录介质， 其中， 所述一种注册表操作 的执行方法可以包括如下步骤：

获取注册表操作请求， 所述请求中包括调用者输入参数；

依据所述调用者输入参数设置注册表内核执行逻辑， 所述内核执行 逻辑包括： 篡改点检测修复逻辑和注册表函数调用逻辑；

执行所述篡改点检测修复逻辑， 具体为， 检测预置的内核执行流篡 改点， 并在所述内核执行流篡改点的原始值发生变化时， 恢复所述内核 执行流篡改点的原始值；

釆用所述注册表函数调用逻辑， 调用对应的注册表函数。

所述计算机可读记录介质包括用于以计算机 (例如计算机 ) 可读的 形式存储或传送信息的任何机制。 例如， 机器可读介质包括只读存储器

( ROM ), 随机存取存储器 （RAM )、 磁盘存储介质、 光存储介质、 闪速 存储介质、 电、 光、 声或其他形式的传播信号 （例如， 载波、 红外信号、 数字信号等） 等。

本申请可用于众多通用或专用的计算系统环境或配置中。 例如： 个 人计算机、 服务器计算机、 手持设备或便携式设备、 平板型设备、 多处 理器系统、 基于微处理器的系统、 置顶盒、 可编程的消费电子设备、 网 络 PC、 小型计算机、 大型计算机、 包括以上任何系统或设备的分布式计 算环境等等。

本申请可以在由计算机执行的计算机可执行指令的一般上下文中描 述， 例如程序模块。 一般地， 程序模块包括执行特定任务或实现特定抽 象数据类型的例程、 程序、 对象、 组件、 数据结构等等。 也可以在分布 式计算环境中实践本申请， 在这些分布式计算环境中， 由通过通信网络 而被连接的远程处理设备来执行任务。 在分布式计算环境中， 程序模块 可以位于包括存储设备在内的本地和远程计算机存储介质中。

以上对本申请所提供的一种注册表操作的执行方法和一种注册表操 作的执行装置进行了详细介绍， 本文中应用了具体个例对本申请的原理 及实施方式进行了阐述， 以上实施例的说明只是设置为帮助理解本申请 的方法及其核心思想； 同时， 对于本领域的一般技术人员， 依据本申请 的思想， 在具体实施方式及应用范围上均会有改变之处， 综上所述， 本 说明书内容不应理解为对本申请的限制。

Claims

1、 一种注册表操作的执行方法， 其特征在于， 包括： 获取注册表操作请求， 所述请求中包括调用者输入参数；

依据所述调用者输入参数设置注册表内核执行逻辑， 所述内核执行 逻辑包括： 篡改点检测修复逻辑和注册表函数调用逻辑；

执行所述篡改点检测修复逻辑， 具体为， 检测预置的内核执行流篡 改点， 并在所述内核执行流篡改点的原始值发生变化时， 恢复所述内核 执行流篡改点的原始值；

釆用所述注册表函数调用逻辑， 调用对应的注册表函数。

2、 如权利要求 1所述的方法， 其特征在于， 还包括：

在调用完所述注册表的函数后， 将所述内核执行流篡改, ^的原始值 改回变化值。

3、 如权利要求 1或 2所述的方法， 其特征在于， 所述预置的内核执 行流篡改点包括：

注册表对象解析例程钩挂；

Cm*注册表实现例程调用第三方驱动时的 CmpCallBack回调机制； Cm*注册表函数内联挂钩；

HvpGetCellPaged/HvpGetCellMapped对象例程钩挂。

4、 如权利要求 3所述的方法， 其特征在于， 所述检测预置的内核执 行流篡改点， 并在内核执行流篡改点的原始值发生变化时恢复所述篡改 点原始值的步骤具体包括：

子步骤 Sl、 检测注册表对象解析例程钩挂的原始值是否发生改变， 若是， 则执行子步骤 S2, 否则， 执行子步骤 S3;

子步骤 S2、 恢复所述注册表对象解析例程钩挂的原始值， 转子步骤

S3;

子步骤 S3、 调用 Cm*注册表实现例程， 检测 Cm*注册表函数内联挂 钩的原始值是否发生改变， 若是， 则执行子步骤 S4, 否则， 执行子步骤 S5; 子步骤 S4、 恢复所述 Cm*注册表函数内联挂钩的原始值， 转子步骤

S5;

子步骤 S5、 阻断 CmpCallBack回调机制， 转子步骤 S6;

子步骤 S6、 检测 HvpGetCellPaged/HvpGetCellMapped对象例程钩挂 的原始值是否发生改变， 若是， 则执行子步骤 S7, 否则结束；

子步骤 S7、 恢复所述 HvpGetCellPaged/HvpGetCellMapped对象例程 钩挂的原始值。

5、 如权利要求 4所述的方法， 其特征在于， 所述内核执行流篡改点 的原始值在初始化时获得， 所述内核执行流篡改点的变化值緩存在内核 内存中。

6、 如权利要求 1或 2所述的方法， 其特征在于， 在获取注册表操作 请求之前， 还包括：

调用者发起注册表操作请求， 调用对应的注册表操作接口例程； 其 中， 所述请求中包括调用者输入参数；

依据系统平台的类型构建内核态结构参数， 依据所述内核态结构参 数生成相应的注册表操作控制码， 并发送所述注册表操作控制码至操作 系统内核态驱动。

7、 如权利要求 6所述的方法， 其特征在于， 各注册表操作接口例程 包括窄字符例程和宽字符例程， 在构建内核态结构参数之前， 所述的方 法还包括：

所述注册表操作接口窄字符例程将调用者输入参数中的 ANSI 相关 参数转换为 UNICODE类型， 并调用对应的注册表操作接口宽字符例程。

8、 如权利要求 7所述的方法， 其特征在于， 在设置注册表内核执行 逻辑之前， 所述的方法还包括：

依据所述注册表操作请求校验调用者输入参数， 若校验通过， 则执 行设置注册表内核执行逻辑的步骤。

9、 如权利要求 8所述的方法， 其特征在于， 所述调用者输入参数具 有用户态地址； 在设置注册表内核执行逻辑之前， 所述的方法还包括： 重构所述用户态地址至内核态内存空间。

10、 如权利要求 7、 8或 9所述的方法， 其特征在于， 还包括： 若调用所述注册表的函数成功， 则返回相应的句柄；

若调用所述注册表的函数失败， 则生成错误码并返回用户态。

11、 如权利要求 6 所述的方法， 其特征在于， 所述注册表操作接口 例程与 WINDOWS 标准 API —致， 包括： 注册表键创建例程 BRegCreateKey、 注册表增强键创建例程 BRegCreateKeyEx、 注册表键打 开例程 BRegOpenKey、 注册表增强键打开例程 BRegOpenKeyEx、 注册表 增强查询值例程 BRegQueryValueEx、注册表设置值例程 BRegSetValueEx、 注册表枚举键例程 BRegEnumKey、 注册表增强枚举键例程 BRegEnumKeyEx, 注册表枚举值例程 BRegEnum Value、 注册表删除键例 程 BRegDeleteKey、 注册表增强删除键例程 BRegDeleteKeyEx、 注册表删 除值例程 BRegDelete Value和 /或注册表关闭句柄例程 BRegCloseKey„

12、 如权利要求 11所述的方法， 其特征在于， 所述控制码包括： 注 册表创建控制码 REGCTL— CREATE— KEY、 注册表打开控制码 REGCTL— OPEN— KEY 、 注 册 表 查 询 值 控 制 码 REGCTL— QUERY— VALUE— KEY 、 注 册 表 设 置 值 控 制 码 REGCTL SET VALUE KEY 、 注 册 表 枚 举 键 控 制 码 REGCTL— ENUMERATE— KEY 、 注 册 表 枚 举 值 控 制 码 REGCTL— ENUMERATE— VALUE— KEY 、 注 册 表删 除键 控 制 码 REGCTL— DELETE— KEY 和 / 或 注 册 表 删 除 值 控 制 码 REGCTL DELETE VALUE KEY。

13、 一种注册表操作的执行装置， 其特征在于， 包括：

请求获取模块， 设置为获取注册表操作请求， 所述请求中包括调用 者输入参数；

内核执行逻辑设置模块， 设置为依据所述调用者输入参数设置注册 表内核执行逻辑， 所述内核执行逻辑包括： 篡改点检测修复逻辑和注册 表函数调用逻辑；

篡改点检测修复逻辑执行模块， 设置为执行所述篡改点检测修复逻 辑， 具体为， 检测预置的内核执行流篡改点， 并在所述内核执行流篡改 点的原始值发生变化时， 恢复所述内核执行流篡改点的原始值；

注册表函数调用逻辑执行模块， 设置为釆用所述注册表函数调用逻 辑， 调用对应的注册表函数。

14、 如权利要求 13所述的装置， 其特征在于， 还包括：

篡改点回写模块， 设置为在调用完所述注册表的函数后， 将所述内 核执行流篡改点的原始值改回变化值。

15、 如权利要求 13或 14所述的装置， 其特征在于， 所述预置的内 核执行流篡改点包括：

注册表对象解析例程钩挂；

Cm*注册表实现例程调用第三方驱动时的 CmpCallBack回调机制； Cm*注册表函数内联挂钩；

HvpGetCellPaged/HvpGetCellMapped对象例程钩挂。

16、 如权利要求 15所述的装置， 其特征在于， 所述内核执行流篡改 点的原始值在初始化时获得， 所述内核执行流篡改点的变化值緩存在内 核内存中。

17、 如权利要求 13或 14所述的装置， 其特征在于， 还包括： 用户态请求发送模块， 设置为发起注册表操作请求， 调用对应的注 册表操作接口例程； 其中， 所述请求中包括调用者输入参数；

控制码发送模块， 设置为依据系统平台的类型构建内核态结构参数， 依据所述内核态结构参数生成相应的注册表操作控制码， 并发送所述注 册表操作控制码至操作系统内核态驱动。

18、 如权利要求 17所述的装置， 其特征在于， 还包括：

参数校验模块， 设置为依据所述注册表操作请求校验调用者输入参 数， 若校验通过， 则调用内核执行逻辑设置模块。

19、 如权利要求 18所述的装置， 其特征在于， 所述调用者输入参数 具有用户态地址； 所述的装置还包括：

地址重构模块， 设置为重构所述用户态地址至内核态内存空间。

20、 如权利要求 18或 19所述的装置， 其特征在于， 还包括： 句柄返回模块， 设置为在调用所述注册表的函数成功时， 返回相应 的句柄；

错误码返回模块， 设置为在调用所述注册表的函数失败时， 生成错 误码并返回用户态。

21、 一种在其上记录有用于执行权利要求 1 所述方法的程序的计 机可读记录介质。