内核模式下的注册表操作

骑猪看日落 2022-08-18 14:25 175阅读 0赞

注册表里的几个概念：

![Windows内核函数(2) - 内核模式下的注册表操作 - Fly - 从C开始][Windows_2_ - _ - Fly - _C]

**1.创建关闭注册表项**

**NTSTATUS**   
**ZwCreateKey(  
OUT PHANDLE***KeyHandle***,**  
**IN ACCESS\_MASK***DesiredAccess***,** //访问权限，一般为KEY\_ALL\_ACCLESS  
**IN POBJECT\_ATTRIBUTES***ObjectAttributes***,**  
**IN ULONG***TitleIndex***,** //一般为NULL  
**IN PUNICODE\_STRING***Class***OPTIONAL,** //一般为NULL  
**IN ULONG***CreateOptions***,** //一般为REG\_OPTION\_NON\_VOLATILE  
**OUT PULONG***Disposition***OPTIONAL** //返回是打开成功还是创建成功  
**);**

如果ZwCreateKey指定的项目不存在，则直接创建这个项目，并利用*Disposition*参数返回REG\_CREATED\_NEW\_KEY。如果该项目已经存在，*Disposition*参数返回REG\_OPENED\_EXISTING\_KEY。

示例代码：

//新建注册表项为HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Mzf

\#define MY\_REG\_SOFTWARE\_KEY\_NAME L"\\\\Registry\\\\Machine\\\\Software\\\\Mzf"

\#pragma INITCODE

VOID TetsKey()

UNICODE\_STRING string1;

RtlInitUnicodeString(&string1, MY\_REG\_SOFTWARE\_KEY\_NAME);

OBJECT\_ATTRIBUTES objAttribute;

InitializeObjectAttributes(&objAttribute, &string1, OBJ\_CASE\_INSENSITIVE, NULL, NULL);

HANDLE hKey;

ULONG Des;

NTSTATUS status = ZwCreateKey(&hKey, KEY\_ALL\_ACCESS, &objAttribute,

NULL, NULL, REG\_OPTION\_NON\_VOLATILE, &Des);

if (NT\_SUCCESS(status))

if (Des == REG\_CREATED\_NEW\_KEY)

KdPrint(("新建注册表项！\\n"));

else

KdPrint(("要创建的注册表项已经存在！\\n"));

//打开或创建注册表子项

UNICODE\_STRING string2;

RtlInitUnicodeString(&string2, L"SubKey");

OBJECT\_ATTRIBUTES subObjAttribute;

//注意最后第二个参数，为父键的句柄

InitializeObjectAttributes( &subObjAttribute, &string2, OBJ\_CASE\_INSENSITIVE, hKey, NULL);

HANDLE hSubKey;

ULONG subDes;

status = ZwCreateKey(&hSubKey, KEY\_ALL\_ACCESS, &subObjAttribute,

NULL, NULL, REG\_OPTION\_NON\_VOLATILE, &subDes);

if (NT\_SUCCESS(status))

if (subDes == REG\_CREATED\_NEW\_KEY)

KdPrint(("新建注册表子项！\\n"));

else

KdPrint(("要创建的注册表子项已经存在！\\n"));

//关闭注册表句柄

ZwClose(hKey);

ZwClose(hSubKey);

**2.打开注册表项**

**NTSTATUS**   
**ZwOpenKey(  
OUT PHANDLE***KeyHandle***,**  
**IN ACCESS\_MASK***DesiredAccess***,**  
**IN POBJECT\_ATTRIBUTES***ObjectAttributes*  
**);**

**3.添加，修改注册表键值**

注册表键值是以二元形式存储的，既“键名”和“键值”。通过键名设置键值，而键值可以分为以下几类：

<table style="color:rgb(51,51,51); font-family:Arial; font-size:14px; line-height:28px; border:medium none; border-collapse:collapse"> 
 <tbody> 
 <tr> 
 <td style="border:1pt solid black; padding:0cm 5.4pt; width:213.05pt; background-color:transparent"> 分类 </td> 
 <td style="border-color:black black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-top-width:1pt; border-top-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 描述 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> REG_BINARY </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 键使用二进制存储 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> REG_SZ </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 键使用宽字符串，字符串以\0结尾 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> REG_EXPAND_SZ </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 该字符是扩展的字符，其它同上 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> REG_MULTI_SZ </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 键值存储多个字符串，每个字符串以\0隔开 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> REG_DWORD </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 键值用4字节整型存储 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> REG_QWORD </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 键值使用8字节存储 </td> 
 </tr> 
 </tbody> 
</table>

在添加和修改注册表键值的时候，要分类进行添加和修改。DDK提供了ZwSetValueKey函数来完成这个任务。

**NTSTATUS**   
**ZwSetValueKey(  
IN HANDLE***KeyHandle***,**  
**IN PUNICODE\_STRING***ValueName***,** //要新建或者修改的键名  
**IN ULONG***TitleIndex***OPTIONAL,** //一般设为0  
**IN ULONG***Type***,** //键值类型，上表中的一个  
**IN PVOID***Data***,** //数据  
**IN ULONG***DataSize*//记录键值数据大小  
**);**

在使用ZwSetValueKey函数的时候，如果指定的键名不存在，则直接创建。否则，对已有的键值进行修改。

示例代码：

\#define MY\_REG\_SOFTWARE\_KEY\_NAME L"\\\\Registry\\\\Machine\\\\Software\\\\Mzf"

\#pragma INITCODE

NTSTATUS TetsKey()

//初始化注册表项

UNICODE\_STRING stringKey;

RtlInitUnicodeString(&stringKey, MY\_REG\_SOFTWARE\_KEY\_NAME);

//初始化OBJECT\_ATTRIBUTES结构

OBJECT\_ATTRIBUTES ObjectAttributes;

InitializeObjectAttributes(&ObjectAttributes, &stringKey,

OBJ\_CASE\_INSENSITIVE, NULL, NULL);

//打开注册表项

HANDLE hKey;

NTSTATUS status = ZwOpenKey(&hKey, GENERIC\_ALL, &ObjectAttributes);

if (!NT\_SUCCESS(status))

KdPrint(("打开注册表项失败！\\n"));

return status;

//初始化valueName

UNICODE\_STRING valueName;

RtlInitUnicodeString(&valueName, L"valueName REG\_DWORD");

//设置REG\_DWORD键值

ULONG ulValue = 100;

status = ZwSetValueKey(hKey, &valueName, 0, REG\_DWORD, &ulValue, sizeof(ulValue));

if (!NT\_SUCCESS(status))

KdPrint(("设置1键值失败！\\n"));

return status;

//设置REG\_SZ键值

RtlInitUnicodeString(&valueName, L"valueName REG\_SZ");

WCHAR\* str = L"Hello World";

status = ZwSetValueKey(hKey, &valueName, 0, REG\_SZ, str, wcslen(str)\*2 + 2);

if (!NT\_SUCCESS(status))

KdPrint(("设置2键值失败！\\n"));

return status;

//设置REG\_BINARY键值

RtlInitUnicodeString(&valueName, L"valueName REG\_BINARY");

UCHAR buffer\[10\];

RtlFillMemory(buffer, sizeof(buffer), 0xFF);

status = ZwSetValueKey(hKey, &valueName, 0, REG\_BINARY, buffer, sizeof(buffer));

if (!NT\_SUCCESS(status))

KdPrint(("设置3键值失败！\\n"));

return status;

//关闭注册表句柄

ZwClose(hKey);

return status;

**4.查询注册表**

**NTSTATUS**   
**ZwQueryValueKey(  
IN HANDLE***KeyHandle***,**  
**IN PUNICODE\_STRING***ValueName***,** //要查询的键名  
**IN KEY\_VALUE\_INFORMATION\_CLASS***KeyValueInformationClass***,** //查询的类别  
**OUT PVOID***KeyValueInformation***,** //返回查询的信息  
**IN ULONG***Length***,** //要查数据的长度  
**OUT PULONG***ResultLength*//实际查询数据的长度  
**);**

在使用上述函数对注册表键值进行查询时，需要指定*KeyValueInformationClass*的值，这个值可以是**KeyValueBasicInformation**，**KeyValueFullInformation**，**KeyValuePartialInformation**。

一般情况下，选择**KeyValuePartialInformation**就可以查询键值的数据了。它对应查询所返回的结果存放在一个**KEY\_VALUE\_PARTIAL\_INFORMATION**结构体中。

typedef struct \_KEY\_VALUE\_PARTIAL\_INFORMATION \{  
ULONG TitleIndex;  
ULONG Type; //数据的类型  
ULONG DataLength; //数据的长度  
UCHAR Data\[1\]; //数据指针，这里是变长的数据  
\} KEY\_VALUE\_PARTIAL\_INFORMATION, \*PKEY\_VALUE\_PARTIAL\_INFORMATION;

**KEY\_VALUE\_PARTIAL\_INFORMATION**结构体的长度不固定，所以首先需要确定这个长度。一般使用ZwQueryValueKey分为以下四个步骤:

(1)用ZwQueryValueKey获取这个数据结构的长度。

(2)分配如此长度的内存，用来查询

(3)再次调用ZwQueryValueKey，获取键值

(4)回收内存。

示例代码：

\#define MY\_REG\_SOFTWARE\_KEY\_NAME L"\\\\Registry\\\\Machine\\\\Software\\\\Mzf"

\#pragma INITCODE

NTSTATUS TetsKey()

//初始化注册表项

UNICODE\_STRING stringKey;

RtlInitUnicodeString(&stringKey, MY\_REG\_SOFTWARE\_KEY\_NAME);

//初始化OBJECT\_ATTRIBUTES结构

OBJECT\_ATTRIBUTES ObjectAttributes;

InitializeObjectAttributes(&ObjectAttributes, &stringKey,

OBJ\_CASE\_INSENSITIVE, NULL, NULL);

//打开注册表项

HANDLE hKey;

NTSTATUS status = ZwOpenKey(&hKey, GENERIC\_ALL, &ObjectAttributes);

if (!NT\_SUCCESS(status))

KdPrint(("打开注册表项失败！\\n"));

return status;

//初始化valueName

UNICODE\_STRING valueName;

RtlInitUnicodeString(&valueName, L"valueName REG\_DWORD");

//获取实际查询的数据的大小

ULONG ulSize = 0;

status = ZwQueryValueKey(hKey, &valueName,

KeyValuePartialInformation, NULL, 0, &ulSize);

if (status == STATUS\_OBJECT\_NAME\_NOT\_FOUND || ulSize == 0)

ZwClose(hKey);

KdPrint(("注册表键值不存在！\\n"));

return status;

//分配实际查询所需的内存空间

PKEY\_VALUE\_PARTIAL\_INFORMATION pkvpi =

(PKEY\_VALUE\_PARTIAL\_INFORMATION)ExAllocatePool(PagedPool, ulSize);

//查询键值

status = ZwQueryValueKey(hKey, &valueName, KeyValuePartialInformation,

pkvpi, ulSize, &ulSize);

if(!NT\_SUCCESS(status))

ZwClose(hKey);

KdPrint(("查询注册表键值失败！\\n"));

return status;

//判断是否为REG\_DWORD类型

if (pkvpi->Type == REG\_DWORD && pkvpi->DataLength == sizeof(ULONG))

PULONG a = (PULONG)pkvpi->Data;

KdPrint(("%d\\n", \*a));

//关闭注册表句柄

ZwClose(hKey);

return status;

**5.枚举子项**

DDK提供了两个函数，他们组合使用可以起到枚举子项的作用。

**NTSTATUS**   
**ZwQueryKey(  
IN HANDLE***KeyHandle***,**  
**IN KEY\_INFORMATION\_CLASS***KeyInformationClass***,**  
**OUT PVOID***KeyInformation***,**  
**IN ULONG***Length***,**  
**OUT PULONG***ResultLength*  
**);**

**NTSTATUS**   
**ZwEnumerateKey(  
IN HANDLE***KeyHandle***,**  
**IN ULONG***Index***,**  
**IN KEY\_INFORMATION\_CLASS***KeyInformationClass***,**  
**OUT PVOID***KeyInformation***,**  
**IN ULONG***Length***,**  
**OUT PULONG***ResultLength*  
**);**

ZwQueryKey的作用主要是获得注册表项究竟有多少个子项，而ZwEnumerateKey的作用主要是针对第几个子项，获取该子项的具体信息。

在使用ZwQueryKey时，可以将参数KeyInformationClass指定为KeyFullInformation。这样参数KeyInformation就对应一个KEY\_FULL\_INFORMATION的数据结构。该结构中的SubKeys指明了项中有多少子项。

在使用ZwEnumerateKey时，需要将参数KeyInformationClass指定为KeyBasicInformation，已返回子项的基本信息。

注意：上面提到的这两个结构都是变长的，在使用时需要调用两次函数。第一次获得长度，第二次真正得到数据。

示例代码：

\#define MY\_REG\_SOFTWARE\_KEY\_NAME L"\\\\Registry\\\\Machine\\\\Software\\\\Mzf"

\#pragma INITCODE

NTSTATUS TetsKey()

//初始化注册表项

UNICODE\_STRING stringKey;

RtlInitUnicodeString(&stringKey, MY\_REG\_SOFTWARE\_KEY\_NAME);

//初始化OBJECT\_ATTRIBUTES结构

OBJECT\_ATTRIBUTES ObjectAttributes;

InitializeObjectAttributes(&ObjectAttributes, &stringKey,

OBJ\_CASE\_INSENSITIVE, NULL, NULL);

//打开注册表项

HANDLE hKey;

NTSTATUS status = ZwOpenKey(&hKey, GENERIC\_ALL, &ObjectAttributes);

if (!NT\_SUCCESS(status))

KdPrint(("打开注册表项失败！\\n"));

return status;

//第一次调用ZwQueryKey，为了获取KEY\_FULL\_INFORMATION数据的长度

ULONG ulSize = 0;

status = ZwQueryKey(hKey, KeyFullInformation, NULL, 0, &ulSize);

//申请内存

PKEY\_FULL\_INFORMATION pkfi =

(PKEY\_FULL\_INFORMATION)ExAllocatePool(PagedPool, ulSize);

//第二次调用ZwQueryKey，为了获取KEY\_FULL\_INFORMATION数据

status = ZwQueryKey(hKey, KeyFullInformation, pkfi, ulSize, &ulSize);

for (ULONG i=0; i<pkfi->SubKeys; i++)

//第一次调用ZwEnumerateKey，为了获取KEY\_BASIC\_INFORMATION数据的长度

ZwEnumerateKey(hKey, i, KeyBasicInformation, NULL, 0, &ulSize);

//非配内存

PKEY\_BASIC\_INFORMATION pkbi =

(PKEY\_BASIC\_INFORMATION)ExAllocatePool(PagedPool, ulSize);

//第二次调用ZwEnumerateKey，为了获取KEY\_BASIC\_INFORMATION数据 ZwEnumerateKey(hKey, i, KeyBasicInformation, pkbi, ulSize, &ulSize);

UNICODE\_STRING string;

string.Length = string.MaximumLength = (USHORT)pkbi->NameLength;

string.Buffer = (PWSTR)ExAllocatePool(PagedPool, string.Length);

RtlCopyMemory(string.Buffer, pkbi->Name, string.Length);

KdPrint(("第 %d 个子项: %wZ！\\n", i, &string));

//回收内存

ExFreePool(pkbi);

RtlFreeUnicodeString(&string);

//回收内存

ExFreePool(pkfi);

//关闭注册表句柄

ZwClose(hKey);

return status;

**6.枚举子键**

枚举子键是通过ZwQueryKey和ZwEnumerateValueKey两个函数配合完成的。

**NTSTATUS**  
**ZwEnumerateValueKey(  
IN HANDLE***KeyHandle***,**  
**IN ULONG***Index***,**  
**IN KEY\_VALUE\_INFORMATION\_CLASS***KeyValueInformationClass***,**  
**OUT PVOID***KeyValueInformation***,**  
**IN ULONG***Length***,**  
**OUT PULONG***ResultLength*  
**);**

示例代码：

\#define MY\_REG\_SOFTWARE\_KEY\_NAME L"\\\\Registry\\\\Machine\\\\Software\\\\Mzf"

\#pragma INITCODE

NTSTATUS TetsKey()

//初始化注册表项

UNICODE\_STRING stringKey;

RtlInitUnicodeString(&stringKey, MY\_REG\_SOFTWARE\_KEY\_NAME);

//初始化OBJECT\_ATTRIBUTES结构

OBJECT\_ATTRIBUTES ObjectAttributes;

InitializeObjectAttributes(&ObjectAttributes, &stringKey,

OBJ\_CASE\_INSENSITIVE, NULL, NULL);

//打开注册表项

HANDLE hKey;

NTSTATUS status = ZwOpenKey(&hKey, GENERIC\_ALL, &ObjectAttributes);

if (!NT\_SUCCESS(status))

KdPrint(("打开注册表项失败！\\n"));

return status;

ULONG ulSize = 0;

//查询注册表

status = ZwQueryKey(hKey, KeyFullInformation, NULL, 0, &ulSize);

PKEY\_FULL\_INFORMATION pkfi =

(PKEY\_FULL\_INFORMATION)ExAllocatePool(PagedPool, ulSize);

//查询注册表

status = ZwQueryKey(hKey, KeyFullInformation, pkfi, ulSize, &ulSize);

for (ULONG i=0; i<pkfi->Values; i++)

//枚举注册表

ZwEnumerateValueKey(hKey, i, KeyValueBasicInformation, NULL, 0, &ulSize);

PKEY\_VALUE\_BASIC\_INFORMATION pkbi =

(PKEY\_VALUE\_BASIC\_INFORMATION)ExAllocatePool(PagedPool, ulSize);

ZwEnumerateValueKey(hKey, i, KeyValueBasicInformation, pkbi, ulSize, &ulSize);

UNICODE\_STRING string;

string.Length = string.MaximumLength = (USHORT)pkbi->NameLength;

string.Buffer = (PWSTR)ExAllocatePool(PagedPool, string.Length);

RtlCopyMemory(string.Buffer, pkbi->Name, string.Length);

KdPrint(("第 %d 个子项: %wZ！\\n", i, &string));

//判断键值类型

if (pkbi->Type == REG\_SZ)

KdPrint(("REG\_SZ\\n"));

ExFreePool(pkbi);

RtlFreeUnicodeString(&string);

ExFreePool(pkfi);

//关闭注册表句柄

ZwClose(hKey);

return status;

**7.删除子项**

**NTSTATUS**   
**ZwDeleteKey(  
IN HANDLE***KeyHandle*  
**);**

需要指出，该函数只能删除没有子项的项目。如果项中有子项，则不能删除。这时候需要先将该项中的所有子项全部删除，再删除该项。

**8.其他**

为了简化注册表的操作，DDK还提供了一系列以Rtl开头的运行时函数，这些函数把前面介绍的函数进行了封装。往往一条函数就能实现前面介绍的若干条函数的功能。

<table style="color:rgb(51,51,51); font-family:Arial; font-size:14px; line-height:28px; border:medium none; border-collapse:collapse"> 
 <tbody> 
 <tr> 
 <td style="border:1pt solid black; padding:0cm 5.4pt; width:213.05pt; background-color:transparent"> 分类 </td> 
 <td style="border-color:black black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-top-width:1pt; border-top-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 描述 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> RtlCreateRegistryKey </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 创建注册表 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> RtlCheckRegistryKey </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 查看某注册表项是否存在 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> RtlWriteRegistryValue </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 写注册表 </td> 
 </tr> 
 <tr> 
 <td style="border-color:rgb(212,208,200) black black; border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; border-left-width:1pt; border-left-style:solid; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> RtlDeleteRegistryValue </td> 
 <td style="border-color:rgb(212,208,200) black black rgb(212,208,200); border-right-width:1pt; border-right-style:solid; padding:0cm 5.4pt; width:213.05pt; border-bottom-width:1pt; border-bottom-style:solid; background-color:transparent"> 删除注册表的子键 
 <div> 
 
 </div> </td> 
 </tr> 
 </tbody> 
</table>

[Windows_2_ - _ - Fly - _C]: /images/20220731/570dd0925a114db6be23df23d4b1e1b7.png