Registry-Zugriff hooken

[TBx]

Hallo!

Gibt es eine Möglichkeit die Zugriffe eines Prozesses auf die Registry zu hooken?

Ziel des Ganzen ist es, eine Anwendung, die die Registry intensiv nutzt, portable zu machen und auf verschiedenen Rechnern auszuführen.
Die Anwendung wird auf einer externen Festplatte oder einem USB-Stick abgelegt.
Die Quellen der Anwendung liegen mir nicht vor.

Die Grundlagen des Hookens habe ich bereits bei Assarbad nachgelesen. Soweit verständlich, nur konnte ich bisher nirgends rausfinden, ob die Registryzugriffe überhaupt hookbar sind.

Gruß

onlinekater

[Edit] Tipselfehler [/Edit]

[Olli]

Also es ist schön, daß du es bei mir nachgelesen hast, aber da geht es nur um Fensterhooks. Wenn du eine solche Anwendung, wie du sie beschreibst, hooken willst, würde sich ein Loader anbieten. Das funktioniert folgendermaßen:
1.) Du startest den Prozeß mit CreateProcess und läßt den Hauptthread aber schlafen (suspended).
2.) Du lädst deine eigene DLL in den Prozeß.
3.) Deine DLL manipuliert die IAT des Prozesses.
4.) Du läßt den Thread aufwachen (resume).

Wenn es auf Windows NT, 2000, XP und höher ist, so ist das sehr einfach. Prinzipiell machst du nur ein LoadLibrary über CreateRemoteThread mit dem entsprechenden Pointer auf den Namen der DLL zeigend (mußt du in dem Prozeß vorher allozieren und reinkopieren).