Перехват изменений в реестре

[Termit]

Привет знатокам ядра винды ) А кто подскажет как перехватывать и подменять изменения/чтения из реестра?

[Ochkarik]

а с чего такой вопрос?

[Termit]

Хочу отслеживать активность конкретного приложения с известным PID в системе, но защитить систему от изменений со стороны софтины

[Ochkarik]

вобще штатными средствами даже не знаю как... помоему штатных средств и нет.
если для перехвата API то... где то я видел методы... на wasm-е кажется что то было...
если для прехвата в ядре... даже незнаю) вобще это уже подчти вирусописательство.

[Termit]

Вы ошибаетесь, уважаемый, это ВИРТУАЛИЗАЦИЯ в чистом виде, что кстати может быть полезно для отслеживания активности тех самых вирусов без ущерба для системы (про перехват операций в файловой системе я уже вопрос задавал)...

[Ochkarik]

я в о методах перехвата это говорил)))
полистайте http://www.wasm.ru/article.php?article=apihook_1
там есть то что вас интересует)

[amisto0x07]

Ядром экспортируется указатель на таблицу системных сервисов (SSDT). Можно, используя этот указатель и индекс сервисной функции(которую хочешь "перехватывать") в этой таблице, получить адрес самой функции. Подход заключается в том, что необходимо загрузить в виде драйвера код, который переберет эту SSDT таблицу, вытащив из неё адреса перехватываемых функций и подменив эти адреса своими обработчиками, которые в своем контексте будут использовать оригинальную функцию.
Плюсы подхода: полный контроль на данными при работе с перехватываемыми функциями.
Недостатки: во-первых, любой мало-мальски грамотный антивирус расстреляет твой драйвер на месте, потому как выше описанные действия оные считают преступлением, ну и , во-вторых, от версии к версии ОС индексы функций, выполняющих одну и туже логику, могут в таблице не совпадать. Но это не проблема. Насколько я помню, в сети есть ресурсы, на которых полностью описаны индексы с соответствующими им функциями в зависимости от версии ядра.

[Termit]

Ochkarik :
Спасибо большое, Вы мне очень помогли 

amisto0x07 :
Читал про такие способы... как по мне то это не очень надежно (учитывая изменения в версиях ядра), да и "мороки" много. Оставлю Ваше предложение на крайний случай, но спасибо 

[amisto0x07]

штатные стредства для User-mode давно существуют! MicroSoft как обычно упростил. Читайте информацию по Detour. Вся "сложность" будет заключаться в написании DLL, которая будет использовать функционал Detour-a. А далее юзайте ключ реестра AppInit_DLLs.

[amisto0x07]

Termit
Если тебе достаточно перехватывать работу ч реестром на user-mode уровне, то мой совет - используй detour

[Termit]

Есть способ попроще: CmRegisterCallback