IFEO Debugger、VerifierDlls 与 SilentProcessExit 配置本节的目标是读取 Image File Execution OptionsIFEO映像文件执行选项与 SilentProcessExit静默进程退出监视中的Debugger、VerifierDlls、MonitorProcess配置并保留它们来自哪个注册表视图、哪个目标映像和哪个值名。要完成这项检查分为四步定位 IFEO 与 SilentProcessExit 的六项来源明确值名和 32 位、64 位注册表视图。打开每项来源的父键枚举以目标映像名命名的直接子键。在每个目标映像子键中按返回字节数读取指定的注册表值。验证值类型和 UTF-16 字节边界解码文本并连同来源信息输出。六项注册表来源 - 目标映像子键 - 指定值的原始字节 - 类型验证和文本记录这个流程只读取静态配置。读取结果可以说明配置在检查时存在实际的调试器启动、验证器加载和退出监视触发仍要由进程或事件证据确认。一、第一步定位配置来源和对象关系第一步要确定每项配置的来源。IFEO 与 SilentProcessExit 都按目标映像名组织配置。Image File Execution OptionsIFEO映像文件执行选项是 Windows 按可执行映像名保存创建相关设置的一组注册表项。SilentProcessExit 是另一组按映像名保存退出监视设置的注册表项。两类键、两个注册表视图和值名共同决定一条读取记录的来源。1. IFEO 使用可执行映像名作为配置匹配键IFEO 按目标映像名匹配配置。Image File Execution OptionsIFEO是 Windows 的一组按可执行映像名组织的配置项根键下的一级子键通常是文件名例如example.exe。当系统处理同名映像的创建请求时相关组件可以读取该子键中的调试、验证或兼容性配置。子键名是目标映像标识不能单独证明磁盘上存在某个路径相同的文件。路径解析、哈希、签名和进程标识属于另一类信息。读取 IFEO 时应以“来源根键 视图 目标映像子键 值名”构成记录身份。Image File Execution Options target.exe目标映像名 Debugger创建时调试器重定向相关文本 GlobalFlag全局标志配置 VerifierDlls应用程序验证器相关模块文本2. Debugger、验证器与静默退出监视有不同的触发点不同值需要按进程生命周期解释。Debugger与目标映像的创建处理有关文本可指向调试器命令。VerifierDlls与 Application Verifier 等验证器配置相关是否参与还受其它验证器设置和系统条件影响。两者都位于 IFEO 层级但并不表示相同的加载或启动规则。SilentProcessExit是独立父键它也使用目标映像名建立子键。MonitorProcess描述在静默进程退出监视条件满足时可使用的监视进程文本。是否触发还依赖对应的进程退出情形和相关标志配置单独出现MonitorProcess值不代表它会在每一次目标程序退出时启动。3. 全局标志影响条件监视器文本描述配置SilentProcessExit 的触发条件与监视端配置需要分开保存。进程相关的全局标志可影响验证器、堆调试或静默退出监视等功能开关。SilentProcessExit 子键中的MonitorProcess值提供的是监视端配置。两类信息共同存在时记录才能说明已观察到哪些条件和配置。本节读取Debugger、VerifierDlls和MonitorProcess三个文本值。GlobalFlag、ReportingMode、DumpFolder等字段属于理解触发条件时可能需要结合的其它配置它们不在本节的读取范围内。三个已读取值仍应分别保存类型、原始数据和缺失状态避免根据一个字段推导另一个字段的结果。4. 32 位与 64 位目标映像的配置来源可能不同32 位与 64 位视图需要完整覆盖。64 位 Windows 对软件注册表的可重定向部分维护 32 位和 64 位视图32 位和 64 位目标进程可读取不同的 IFEO、验证器或 SilentProcessExit 配置。检查程序自身架构会影响默认视图因此必须显式请求两个视图。输出中应写明“IFEO 64 位视图”“IFEO 32 位视图”“SilentProcessExit 64 位视图”等来源标签。某一视图键不存在、子键存在但值缺失、值类型不符合预期、值文本为空都应是不同状态。5. 注册表配置不能替代运行时过程证据静态配置不能当作事件记录。发现Debugger文本能说明读取时重定向配置存在。发现VerifierDlls能说明验证器模块文本存在。发现MonitorProcess能说明监视配置存在。实际创建、验证器加载、退出监视和监视进程启动需要从进程、事件日志或调试证据单独确认。6. IFEO 键、目标映像和实际文件路径要分开保存目标映像子键名不能当作磁盘文件身份。IFEO 子键通常使用target.exe这样的映像名系统在处理同名创建请求时匹配它。该字符串不包含目录、卷、文件 ID 或签名。不同目录中的同名文件可能触发同一个映像名规则进程退出后 PID 也可能复用因此静态配置记录和实际进程记录需要通过创建时间、映像路径、文件身份等独立字段关联。每条检查结果至少保留父键路径、32/64 位视图、目标映像子键、值名、REG 类型、原始字节长度和读取状态。读取到命令文本后可追加严格按返回长度解码的原文但不拆分为“程序路径”与“参数”来替代原始数据。这样才能区分“某个 IFEO 配置存在”“当前文件路径可见”和“某次目标进程实际受该配置影响”。读取时间和当前调用账户也应成为记录字段因为权限、注册表重定向和并发修改都会影响一次观察的范围。输出按来源逐条保留才能在后续采样中可靠比较配置变化。完成第一步后已经知道每条记录需要保留父键路径、注册表视图、目标映像名和值名。接下来需要逐项打开这些父键才能取得实际存在的目标映像子键。二、第二步打开来源键并枚举目标映像子键IFEO 位于Image File Execution Options每个一级子键通常是目标映像名。Debugger是进程启动时的调试器重定向文本VerifierDlls是验证器 DLL 配置两类值按各自的命令规则解释。SilentProcessExit 位于独立的SilentProcessExit键。其子键同样以目标映像名组织MonitorProcess是退出监视条件下的进程文本与 IFEO 启动重定向分开记录。// 意义从根键或已打开的父键中打开一个现有子键。// 返回ERROR_SUCCESS 表示成功。ERROR_FILE_NOT_FOUND 表示键不存在。// ERROR_ACCESS_DENIED 表示当前令牌没有 samDesired 所请求的访问权限。// 成功时 *phkResult 是调用方拥有的 HKEY必须用 RegCloseKey 恰好关闭一次。LSTATUSRegOpenKeyExW(HKEY hKey,// 输入HKEY_LOCAL_MACHINE 等根键或已打开父键。预定义根键不关闭。LPCWSTR lpSubKey,// 输入相对 UTF-16 路径必须 NUL 结尾。nullptr 表示 hKey 本身。DWORD ulOptions,// 输入保留参数必须为 0。REGSAM samDesired,// 输入所需权限。本节按操作分为 KEY_ENUMERATE_SUB_KEYS 或 KEY_QUERY_VALUE并附加 KEY_WOW64_*。PHKEY phkResult// 输出非空指针成功时接收 HKEY。失败时输出无效且不得使用。);// 意义释放调用方拥有的注册表键句柄。// 返回ERROR_SUCCESS 表示关闭请求成功。关闭后 hKey 不能重复传给查询 API。LSTATUSRegCloseKey(HKEY hKey// 输入/释放RegOpenKeyExW 成功返回的 HKEY不能是预定义根键。);conststruct{constwchar_t*parent;constwchar_t*valueName;REGSAM view;}sources[]{{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options,LDebugger,KEY_WOW64_64KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options,LDebugger,KEY_WOW64_32KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options,LVerifierDlls,KEY_WOW64_64KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options,LVerifierDlls,KEY_WOW64_32KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\SilentProcessExit,LMonitorProcess,KEY_WOW64_64KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\SilentProcessExit,LMonitorProcess,KEY_WOW64_32KEY},};2.1 枚举所有目标映像子键目标映像名长度应使用动态缓冲区读取。RegEnumKeyExW返回的名称长度单位是 UTF-16 字符数遇到ERROR_MORE_DATA后扩大缓冲区再重试。// 意义按零基索引读取一个直接子键名。// 返回ERROR_SUCCESS 表示成功。ERROR_NO_MORE_ITEMS 表示已到达枚举最后。// ERROR_MORE_DATA 表示 *lpcchName 指定的字符容量不足。LSTATUSRegEnumKeyExW(HKEY hKey,// 输入已打开且具有 KEY_ENUMERATE_SUB_KEYS 的父键。不转移所有权。DWORD dwIndex,// 输入从零开始的直接子键索引。它会随并发修改变化不是稳定身份。LPWSTR lpName,// 输出接收 NUL 结尾 UTF-16 名称的缓冲区。不可为 nullptr。LPDWORD lpcchName,// 输入/输出lpName 容量/实际长度单位为 wchar_t实际长度不含 NUL。LPDWORD lpReserved,// 输入保留参数必须为 nullptr。LPWSTR lpClass,// 输出可选键类名缓冲区。本节无需传 nullptr。LPDWORD lpcchClass,// 输入/输出lpClass 容量/长度。lpClass 为 nullptr 时传 nullptr。PFILETIME lpftLastWriteTime// 输出可选最后写入时间。本节传 nullptr。);std::vectorwchar_timageName(256,L\0);DWORD imageNameCharsstatic_castDWORD(imageName.size());LSTATUS statusRegEnumKeyExW(parentKey,index,imageName.data(),imageNameChars,nullptr,nullptr,nullptr,nullptr);if(statusERROR_SUCCESS){std::wstringtargetImage(imageName.data(),imageNameChars);std::wstring childPathparentPathL\\targetImage;}子键存在而指定值未设置是常见状态。记录仍保留目标映像名和子键路径避免只展示有配置的少数子键而掩盖完整范围。// 错误示例只枚举 Debugger 存在的子键。if(ReadValue(childKey,LDebugger).empty())continue;完成第二步后每条记录都有了来源标签和目标映像名。下一步需要读取该子键中的指定值并把“值不存在”“值太大”“访问失败”和“读取成功”分开记录。三、第三步按返回字节数读取指定配置值Debugger、VerifierDlls、MonitorProcess都通过注册表值读取。先查询数据字节数再分配缓冲区。并发修改导致ERROR_MORE_DATA时有限重试。// 意义读取一个指定值的注册表类型和原始字节。// 返回ERROR_SUCCESS 表示成功。ERROR_FILE_NOT_FOUND 表示值未设置。// ERROR_MORE_DATA 表示 *lpcbData 指定的字节容量不足。LSTATUSRegQueryValueExW(HKEY hKey,// 输入已打开且有 KEY_QUERY_VALUE 权限的子键。不转移所有权。LPCWSTR lpValueName,// 输入NUL 结尾 UTF-16 值名例如 Debugger。nullptr/L 表示默认值。LPDWORD lpReserved,// 输入保留参数必须为 nullptr。LPDWORD lpType,// 输出REG_SZ、REG_EXPAND_SZ 等类型。本节必须检查它。LPBYTE lpData,// 输出接收原始字节。第一次只查询长度时传 nullptr。LPDWORD lpcbData// 输入/输出lpData 容量/实际长度单位始终为字节。不可为 nullptr。);#includeWindows.h#includeutility#includevectorstructRawRegistryValue{DWORD typeREG_NONE;// 成功读取时的 REG_* 类型。std::vectorBYTEbytes;// 成功读取时的原始数据长度单位为字节。};// 正确示范完整读取一个值并对两次调用间发生的长度变化进行有界重试。staticLSTATUSReadRawRegistryValue(HKEY key,// 输入已打开且具有 KEY_QUERY_VALUE 的键。调用方保持关闭责任。constwchar_t*valueName,// 输入NUL 结尾 UTF-16 值名例如 LDebugger。RawRegistryValueresult)// 输出仅在 ERROR_SUCCESS 时写入类型和全部原始字节。{for(intattempt0;attempt!3;attempt){DWORD typeREG_NONE;DWORD requiredBytes0;LSTATUS statusRegQueryValueExW(key,valueName,nullptr,type,nullptr,requiredBytes);if(status!ERROR_SUCCESS){returnstatus;// ERROR_FILE_NOT_FOUND、ERROR_ACCESS_DENIED 等由调用方按子键记录。}std::vectorBYTEbytes(requiredBytes);// requiredBytes 是字节不能当作 wchar_t 数量。DWORD actualBytesrequiredBytes;statusRegQueryValueExW(key,valueName,nullptr,type,bytes.empty()?nullptr:bytes.data(),actualBytes);if(statusERROR_MORE_DATA){continue;// 配置变长下一轮重新测量容量。}if(status!ERROR_SUCCESS){returnstatus;}bytes.resize(actualBytes);result.typetype;result.bytesstd::move(bytes);returnERROR_SUCCESS;}returnERROR_MORE_DATA;// 连续变化超过重试上限保留不稳定状态。}RawRegistryValue debugger;constLSTATUS statusReadRawRegistryValue(childKey,LDebugger,debugger);if(statusERROR_SUCCESS(debugger.typeREG_SZ||debugger.typeREG_EXPAND_SZ)debugger.bytes.size()%sizeof(wchar_t)0){// 仅在类型与 UTF-16 字节对齐都成立后再用返回字节范围构造文本。}完成第三步后已经得到注册表类型和准确的原始字节范围。接下来要先验证类型与字节边界再把符合条件的数据解释为 UTF-16 文本。四、第四步验证类型、解码文本并标注证据范围第四步要避免把任意注册表数据当作命令文本。REG_SZ是以 UTF-16 字符串保存的普通文本。REG_EXPAND_SZ也是 UTF-16 文本其中可能含有%SystemRoot%这类环境变量标记。只有值类型属于这两类并且返回字节数能被sizeof(wchar_t)整除时读取程序才可以按 UTF-16 字符范围构造文本。#includecstring#includestring// 正确示范value.bytes 的长度来自 RegQueryValueExW 返回的实际字节数。// 返回 true 表示 output 接收了按精确字节范围构造的文本。返回 false 时调用方保留原始字节不解释为文本。staticboolDecodeRegistryText(constRawRegistryValuevalue,std::wstringoutput){output.clear();// output 由调用方拥有先清空上一次的内容避免失败时保留旧文本。if(value.type!REG_SZvalue.type!REG_EXPAND_SZ){returnfalse;// 其它 REG_* 类型没有本节定义的 UTF-16 命令文本语义。}if(value.bytes.size()%sizeof(wchar_t)!0){returnfalse;// UTF-16 单元是两个字节奇数字节长度表明数据边界无效。}output.resize(value.bytes.size()/sizeof(wchar_t));if(!value.bytes.empty()){std::memcpy(output.data(),value.bytes.data(),value.bytes.size());}// NUL 只在最后一个 UTF-16 单元时移除。中间出现的 NUL 仍属于原始数据的一部分。if(!output.empty()output.back()L\0){output.pop_back();}returntrue;}std::wstring text;if(DecodeRegistryText(debugger,text)){// 此处可连同父键、视图、目标映像名和值名输出 text。}下面的写法会忽略类型和实际字节数。二进制数据或没有终止 NUL 的文本会被错误读取甚至会访问缓冲区外的数据。// 错误示例bytes 的有效范围由 returnedBytes 决定不能直接构造依赖 NUL 的字符串。std::wstringtext(reinterpret_castconstwchar_t*(debugger.bytes.data()));字符串仅在REG_SZ或REG_EXPAND_SZ且返回字节数符合 UTF-16 对齐时解码。原始文本、目标映像名和值名共同构成记录三个值具有各自的触发条件和含义。Debugger描述启动重定向VerifierDlls描述验证器 DLL 配置MonitorProcess描述静默退出监视。读取到某个值只证明该配置在读取时存在实际触发还取决于相应映像的启动、验证器设置或退出条件。完整可运行程序在附件https://wangweicm.lanzouu.com/ioUd03ymog6b
IFEO Debugger、VerifierDlls 与 SilentProcessExit 配置
IFEO Debugger、VerifierDlls 与 SilentProcessExit 配置本节的目标是读取 Image File Execution OptionsIFEO映像文件执行选项与 SilentProcessExit静默进程退出监视中的Debugger、VerifierDlls、MonitorProcess配置并保留它们来自哪个注册表视图、哪个目标映像和哪个值名。要完成这项检查分为四步定位 IFEO 与 SilentProcessExit 的六项来源明确值名和 32 位、64 位注册表视图。打开每项来源的父键枚举以目标映像名命名的直接子键。在每个目标映像子键中按返回字节数读取指定的注册表值。验证值类型和 UTF-16 字节边界解码文本并连同来源信息输出。六项注册表来源 - 目标映像子键 - 指定值的原始字节 - 类型验证和文本记录这个流程只读取静态配置。读取结果可以说明配置在检查时存在实际的调试器启动、验证器加载和退出监视触发仍要由进程或事件证据确认。一、第一步定位配置来源和对象关系第一步要确定每项配置的来源。IFEO 与 SilentProcessExit 都按目标映像名组织配置。Image File Execution OptionsIFEO映像文件执行选项是 Windows 按可执行映像名保存创建相关设置的一组注册表项。SilentProcessExit 是另一组按映像名保存退出监视设置的注册表项。两类键、两个注册表视图和值名共同决定一条读取记录的来源。1. IFEO 使用可执行映像名作为配置匹配键IFEO 按目标映像名匹配配置。Image File Execution OptionsIFEO是 Windows 的一组按可执行映像名组织的配置项根键下的一级子键通常是文件名例如example.exe。当系统处理同名映像的创建请求时相关组件可以读取该子键中的调试、验证或兼容性配置。子键名是目标映像标识不能单独证明磁盘上存在某个路径相同的文件。路径解析、哈希、签名和进程标识属于另一类信息。读取 IFEO 时应以“来源根键 视图 目标映像子键 值名”构成记录身份。Image File Execution Options target.exe目标映像名 Debugger创建时调试器重定向相关文本 GlobalFlag全局标志配置 VerifierDlls应用程序验证器相关模块文本2. Debugger、验证器与静默退出监视有不同的触发点不同值需要按进程生命周期解释。Debugger与目标映像的创建处理有关文本可指向调试器命令。VerifierDlls与 Application Verifier 等验证器配置相关是否参与还受其它验证器设置和系统条件影响。两者都位于 IFEO 层级但并不表示相同的加载或启动规则。SilentProcessExit是独立父键它也使用目标映像名建立子键。MonitorProcess描述在静默进程退出监视条件满足时可使用的监视进程文本。是否触发还依赖对应的进程退出情形和相关标志配置单独出现MonitorProcess值不代表它会在每一次目标程序退出时启动。3. 全局标志影响条件监视器文本描述配置SilentProcessExit 的触发条件与监视端配置需要分开保存。进程相关的全局标志可影响验证器、堆调试或静默退出监视等功能开关。SilentProcessExit 子键中的MonitorProcess值提供的是监视端配置。两类信息共同存在时记录才能说明已观察到哪些条件和配置。本节读取Debugger、VerifierDlls和MonitorProcess三个文本值。GlobalFlag、ReportingMode、DumpFolder等字段属于理解触发条件时可能需要结合的其它配置它们不在本节的读取范围内。三个已读取值仍应分别保存类型、原始数据和缺失状态避免根据一个字段推导另一个字段的结果。4. 32 位与 64 位目标映像的配置来源可能不同32 位与 64 位视图需要完整覆盖。64 位 Windows 对软件注册表的可重定向部分维护 32 位和 64 位视图32 位和 64 位目标进程可读取不同的 IFEO、验证器或 SilentProcessExit 配置。检查程序自身架构会影响默认视图因此必须显式请求两个视图。输出中应写明“IFEO 64 位视图”“IFEO 32 位视图”“SilentProcessExit 64 位视图”等来源标签。某一视图键不存在、子键存在但值缺失、值类型不符合预期、值文本为空都应是不同状态。5. 注册表配置不能替代运行时过程证据静态配置不能当作事件记录。发现Debugger文本能说明读取时重定向配置存在。发现VerifierDlls能说明验证器模块文本存在。发现MonitorProcess能说明监视配置存在。实际创建、验证器加载、退出监视和监视进程启动需要从进程、事件日志或调试证据单独确认。6. IFEO 键、目标映像和实际文件路径要分开保存目标映像子键名不能当作磁盘文件身份。IFEO 子键通常使用target.exe这样的映像名系统在处理同名创建请求时匹配它。该字符串不包含目录、卷、文件 ID 或签名。不同目录中的同名文件可能触发同一个映像名规则进程退出后 PID 也可能复用因此静态配置记录和实际进程记录需要通过创建时间、映像路径、文件身份等独立字段关联。每条检查结果至少保留父键路径、32/64 位视图、目标映像子键、值名、REG 类型、原始字节长度和读取状态。读取到命令文本后可追加严格按返回长度解码的原文但不拆分为“程序路径”与“参数”来替代原始数据。这样才能区分“某个 IFEO 配置存在”“当前文件路径可见”和“某次目标进程实际受该配置影响”。读取时间和当前调用账户也应成为记录字段因为权限、注册表重定向和并发修改都会影响一次观察的范围。输出按来源逐条保留才能在后续采样中可靠比较配置变化。完成第一步后已经知道每条记录需要保留父键路径、注册表视图、目标映像名和值名。接下来需要逐项打开这些父键才能取得实际存在的目标映像子键。二、第二步打开来源键并枚举目标映像子键IFEO 位于Image File Execution Options每个一级子键通常是目标映像名。Debugger是进程启动时的调试器重定向文本VerifierDlls是验证器 DLL 配置两类值按各自的命令规则解释。SilentProcessExit 位于独立的SilentProcessExit键。其子键同样以目标映像名组织MonitorProcess是退出监视条件下的进程文本与 IFEO 启动重定向分开记录。// 意义从根键或已打开的父键中打开一个现有子键。// 返回ERROR_SUCCESS 表示成功。ERROR_FILE_NOT_FOUND 表示键不存在。// ERROR_ACCESS_DENIED 表示当前令牌没有 samDesired 所请求的访问权限。// 成功时 *phkResult 是调用方拥有的 HKEY必须用 RegCloseKey 恰好关闭一次。LSTATUSRegOpenKeyExW(HKEY hKey,// 输入HKEY_LOCAL_MACHINE 等根键或已打开父键。预定义根键不关闭。LPCWSTR lpSubKey,// 输入相对 UTF-16 路径必须 NUL 结尾。nullptr 表示 hKey 本身。DWORD ulOptions,// 输入保留参数必须为 0。REGSAM samDesired,// 输入所需权限。本节按操作分为 KEY_ENUMERATE_SUB_KEYS 或 KEY_QUERY_VALUE并附加 KEY_WOW64_*。PHKEY phkResult// 输出非空指针成功时接收 HKEY。失败时输出无效且不得使用。);// 意义释放调用方拥有的注册表键句柄。// 返回ERROR_SUCCESS 表示关闭请求成功。关闭后 hKey 不能重复传给查询 API。LSTATUSRegCloseKey(HKEY hKey// 输入/释放RegOpenKeyExW 成功返回的 HKEY不能是预定义根键。);conststruct{constwchar_t*parent;constwchar_t*valueName;REGSAM view;}sources[]{{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options,LDebugger,KEY_WOW64_64KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options,LDebugger,KEY_WOW64_32KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options,LVerifierDlls,KEY_WOW64_64KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\Image File Execution Options,LVerifierDlls,KEY_WOW64_32KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\SilentProcessExit,LMonitorProcess,KEY_WOW64_64KEY},{LSoftware\\Microsoft\\Windows NT\\CurrentVersion\\SilentProcessExit,LMonitorProcess,KEY_WOW64_32KEY},};2.1 枚举所有目标映像子键目标映像名长度应使用动态缓冲区读取。RegEnumKeyExW返回的名称长度单位是 UTF-16 字符数遇到ERROR_MORE_DATA后扩大缓冲区再重试。// 意义按零基索引读取一个直接子键名。// 返回ERROR_SUCCESS 表示成功。ERROR_NO_MORE_ITEMS 表示已到达枚举最后。// ERROR_MORE_DATA 表示 *lpcchName 指定的字符容量不足。LSTATUSRegEnumKeyExW(HKEY hKey,// 输入已打开且具有 KEY_ENUMERATE_SUB_KEYS 的父键。不转移所有权。DWORD dwIndex,// 输入从零开始的直接子键索引。它会随并发修改变化不是稳定身份。LPWSTR lpName,// 输出接收 NUL 结尾 UTF-16 名称的缓冲区。不可为 nullptr。LPDWORD lpcchName,// 输入/输出lpName 容量/实际长度单位为 wchar_t实际长度不含 NUL。LPDWORD lpReserved,// 输入保留参数必须为 nullptr。LPWSTR lpClass,// 输出可选键类名缓冲区。本节无需传 nullptr。LPDWORD lpcchClass,// 输入/输出lpClass 容量/长度。lpClass 为 nullptr 时传 nullptr。PFILETIME lpftLastWriteTime// 输出可选最后写入时间。本节传 nullptr。);std::vectorwchar_timageName(256,L\0);DWORD imageNameCharsstatic_castDWORD(imageName.size());LSTATUS statusRegEnumKeyExW(parentKey,index,imageName.data(),imageNameChars,nullptr,nullptr,nullptr,nullptr);if(statusERROR_SUCCESS){std::wstringtargetImage(imageName.data(),imageNameChars);std::wstring childPathparentPathL\\targetImage;}子键存在而指定值未设置是常见状态。记录仍保留目标映像名和子键路径避免只展示有配置的少数子键而掩盖完整范围。// 错误示例只枚举 Debugger 存在的子键。if(ReadValue(childKey,LDebugger).empty())continue;完成第二步后每条记录都有了来源标签和目标映像名。下一步需要读取该子键中的指定值并把“值不存在”“值太大”“访问失败”和“读取成功”分开记录。三、第三步按返回字节数读取指定配置值Debugger、VerifierDlls、MonitorProcess都通过注册表值读取。先查询数据字节数再分配缓冲区。并发修改导致ERROR_MORE_DATA时有限重试。// 意义读取一个指定值的注册表类型和原始字节。// 返回ERROR_SUCCESS 表示成功。ERROR_FILE_NOT_FOUND 表示值未设置。// ERROR_MORE_DATA 表示 *lpcbData 指定的字节容量不足。LSTATUSRegQueryValueExW(HKEY hKey,// 输入已打开且有 KEY_QUERY_VALUE 权限的子键。不转移所有权。LPCWSTR lpValueName,// 输入NUL 结尾 UTF-16 值名例如 Debugger。nullptr/L 表示默认值。LPDWORD lpReserved,// 输入保留参数必须为 nullptr。LPDWORD lpType,// 输出REG_SZ、REG_EXPAND_SZ 等类型。本节必须检查它。LPBYTE lpData,// 输出接收原始字节。第一次只查询长度时传 nullptr。LPDWORD lpcbData// 输入/输出lpData 容量/实际长度单位始终为字节。不可为 nullptr。);#includeWindows.h#includeutility#includevectorstructRawRegistryValue{DWORD typeREG_NONE;// 成功读取时的 REG_* 类型。std::vectorBYTEbytes;// 成功读取时的原始数据长度单位为字节。};// 正确示范完整读取一个值并对两次调用间发生的长度变化进行有界重试。staticLSTATUSReadRawRegistryValue(HKEY key,// 输入已打开且具有 KEY_QUERY_VALUE 的键。调用方保持关闭责任。constwchar_t*valueName,// 输入NUL 结尾 UTF-16 值名例如 LDebugger。RawRegistryValueresult)// 输出仅在 ERROR_SUCCESS 时写入类型和全部原始字节。{for(intattempt0;attempt!3;attempt){DWORD typeREG_NONE;DWORD requiredBytes0;LSTATUS statusRegQueryValueExW(key,valueName,nullptr,type,nullptr,requiredBytes);if(status!ERROR_SUCCESS){returnstatus;// ERROR_FILE_NOT_FOUND、ERROR_ACCESS_DENIED 等由调用方按子键记录。}std::vectorBYTEbytes(requiredBytes);// requiredBytes 是字节不能当作 wchar_t 数量。DWORD actualBytesrequiredBytes;statusRegQueryValueExW(key,valueName,nullptr,type,bytes.empty()?nullptr:bytes.data(),actualBytes);if(statusERROR_MORE_DATA){continue;// 配置变长下一轮重新测量容量。}if(status!ERROR_SUCCESS){returnstatus;}bytes.resize(actualBytes);result.typetype;result.bytesstd::move(bytes);returnERROR_SUCCESS;}returnERROR_MORE_DATA;// 连续变化超过重试上限保留不稳定状态。}RawRegistryValue debugger;constLSTATUS statusReadRawRegistryValue(childKey,LDebugger,debugger);if(statusERROR_SUCCESS(debugger.typeREG_SZ||debugger.typeREG_EXPAND_SZ)debugger.bytes.size()%sizeof(wchar_t)0){// 仅在类型与 UTF-16 字节对齐都成立后再用返回字节范围构造文本。}完成第三步后已经得到注册表类型和准确的原始字节范围。接下来要先验证类型与字节边界再把符合条件的数据解释为 UTF-16 文本。四、第四步验证类型、解码文本并标注证据范围第四步要避免把任意注册表数据当作命令文本。REG_SZ是以 UTF-16 字符串保存的普通文本。REG_EXPAND_SZ也是 UTF-16 文本其中可能含有%SystemRoot%这类环境变量标记。只有值类型属于这两类并且返回字节数能被sizeof(wchar_t)整除时读取程序才可以按 UTF-16 字符范围构造文本。#includecstring#includestring// 正确示范value.bytes 的长度来自 RegQueryValueExW 返回的实际字节数。// 返回 true 表示 output 接收了按精确字节范围构造的文本。返回 false 时调用方保留原始字节不解释为文本。staticboolDecodeRegistryText(constRawRegistryValuevalue,std::wstringoutput){output.clear();// output 由调用方拥有先清空上一次的内容避免失败时保留旧文本。if(value.type!REG_SZvalue.type!REG_EXPAND_SZ){returnfalse;// 其它 REG_* 类型没有本节定义的 UTF-16 命令文本语义。}if(value.bytes.size()%sizeof(wchar_t)!0){returnfalse;// UTF-16 单元是两个字节奇数字节长度表明数据边界无效。}output.resize(value.bytes.size()/sizeof(wchar_t));if(!value.bytes.empty()){std::memcpy(output.data(),value.bytes.data(),value.bytes.size());}// NUL 只在最后一个 UTF-16 单元时移除。中间出现的 NUL 仍属于原始数据的一部分。if(!output.empty()output.back()L\0){output.pop_back();}returntrue;}std::wstring text;if(DecodeRegistryText(debugger,text)){// 此处可连同父键、视图、目标映像名和值名输出 text。}下面的写法会忽略类型和实际字节数。二进制数据或没有终止 NUL 的文本会被错误读取甚至会访问缓冲区外的数据。// 错误示例bytes 的有效范围由 returnedBytes 决定不能直接构造依赖 NUL 的字符串。std::wstringtext(reinterpret_castconstwchar_t*(debugger.bytes.data()));字符串仅在REG_SZ或REG_EXPAND_SZ且返回字节数符合 UTF-16 对齐时解码。原始文本、目标映像名和值名共同构成记录三个值具有各自的触发条件和含义。Debugger描述启动重定向VerifierDlls描述验证器 DLL 配置MonitorProcess描述静默退出监视。读取到某个值只证明该配置在读取时存在实际触发还取决于相应映像的启动、验证器设置或退出条件。完整可运行程序在附件https://wangweicm.lanzouu.com/ioUd03ymog6b
