用RegNotifyChangeKeyValue函数监视注册表

Posted 2021-07-15 潘祖记

上一编文章我们谈到了怎么样不让自己的进程被别个强行关闭掉，实现了进程不被强行关闭，但如果自己程序在注册表里面写的开机自己运行，别人就算不能强行结束自己的进程，但他可以从注册表里面把你程序写的东西删除，下一次开机时你的程序就不能运行，同样可以将软件从机子里面清除，今天我们来讲一下监视注册表的一种简单的方法． 我们先来看一下RegNotifyChangeKeyValue这个ＡＰＩ函数．

LONG WINAPI RegNotifyChangeKeyValue(
  HKEY hKey,
  BOOL bWatchSubtree,
  DWORD dwNotifyFilter,
  HANDLE hEvent,
  BOOL fAsynchronous
);
msnd上有详细的介绍，这里我就不多说了，下现是用它实现对注册表下SOFTWARE键监视写的一个函数．

 

  

   
   #define
       InstallPath   "C:/Program Files/PcMonitor/Client.exe"    
   

   #define
          REG_AUTO_START_KEY    "SOFTWARE/Microsoft/Windows/CurrentVersion/Run" 
  
 

//向注册里写数据

 

  

   
   BOOL SaveReg(
    TCHAR    
   *
   sKey, 
    BYTE    
   *
   pBuffer,
    DWORD    dwBufSize,
    HKEY    hkey, 
    TCHAR    
   *
   sSubKey, 
    DWORD    ulType
)

   ...
   {
    HKEY    hSubkey;
    DWORD    dwDisposition;

    if (RegCreateKeyEx(hkey, sSubKey, 0, NULL, REG_OPTION_NON_VOLATILE
        , KEY_ALL_ACCESS, NULL, &hSubkey, &dwDisposition) != ERROR_SUCCESS)
        return FALSE;

    if (RegSetValueEx(hSubkey, sKey, 0, ulType, pBuffer, dwBufSize) != ERROR_SUCCESS)
    ...{
        RegCloseKey(hSubkey);
        return FALSE;
    }

    RegCloseKey(hSubkey);

    return TRUE;
}
   

DWORD WINAPI MonitorReg(LPVOID lpParam)

   ...
   {
    while(TRUE)
    ...{
       DWORD  dwFilter = REG_NOTIFY_CHANGE_NAME |
                         REG_NOTIFY_CHANGE_ATTRIBUTES |
                         REG_NOTIFY_CHANGE_LAST_SET |
                         REG_NOTIFY_CHANGE_SECURITY; 

       HANDLE hEvent;
       HKEY   hMainKey=HKEY_LOCAL_MACHINE;
       HKEY   hKey;
       LONG   lErrorCode;
       char   szErr[255];


       // Open a key.
       lErrorCode = RegOpenKeyEx(hMainKey,"SOFTWARE", 0, KEY_NOTIFY, &hKey);
       if (lErrorCode != ERROR_SUCCESS)
       ...{
          sprintf(szErr,"Error in RegOpenKeyEx (%d). ", lErrorCode);
          return -1;
       }

       // Create an event.
       hEvent = CreateEvent(NULL, TRUE, FALSE, NULL);
       if (hEvent == NULL)
       ...{
          sprintf(szErr,"Error in CreateEvent (%d). ", GetLastError());
          return -1;
       }

       // Watch the registry key for a change of value.
       lErrorCode = RegNotifyChangeKeyValue(hKey, 
                                            TRUE, 
                                            dwFilter, 
                                            hEvent, 
                                            TRUE);
       if (lErrorCode != ERROR_SUCCESS)
       ...{
          sprintf(szErr,"Error in RegNotifyChangeKeyValue (%d). ", lErrorCode);
          return -1;
       }

       // Wait for an event to occur.
       if (WaitForSingleObject(hEvent, INFINITE) == WAIT_FAILED)
       ...{
          return -1;
       }
       // Close the key.
       lErrorCode = RegCloseKey(hKey);
       if (lErrorCode != ERROR_SUCCESS)
       ...{
          return -1;
       }
   
       // Close the handle.
       if (!CloseHandle(hEvent))
       ...{
          return -1;
       }
        //设置自动运行
        SaveReg(
                "PcMonitor", 
                (BYTE*)InstallPath, 
                strlen(InstallPath),
                HKEY_LOCAL_MACHINE, 
                REG_AUTO_START_KEY, 
                REG_SZ
                );
    }
    return 0;
}