(T)Registry und Wow6432Node

[Dalai]

Hallo, ich bin's schon wieder :).

Der Titel ist zwar nicht unbedingt eindeutig, aber es geht nicht um das Übliche, den Zugriff auf 64 Bit Zweige von einem 32 Bit Programm aus.

Folgender Code zum Einstieg:

Delphi-Quellcode:

const KEY = '\Software\Microsoft\Windows\CurrentVersion\Run'
var reg: TRegistry;
    Laccess: DWORD;
begin
    Laccess:= KEY_READ;
    reg:= TRegistry.Create(Laccess, False);
    reg.RootKey:= HKEY_LOCAL_MACHINE;
    try
        if reg.OpenKey(KEY) then
            ShowMessage(reg.CurrentPath);
    finally
        reg.Free;
    end;
end;

Nun gibt reg.CurrentPath logischerweise denselben Schlüssel zurück wie ich reingebe. Und zwar auch dann, wenn es ein WOW64-Prozess ist. Selbe Geschichte in einem 64 Bit Prozess, wenn man TRegistry.Access auf

Delphi-Quellcode:

KEY_READ or KEY_WOW64_32KEY

setzt, um an den 32 Bit Schlüssel zu kommen. Gibt es einen Weg, an den vollen/umgeleiteten Schlüssel zu kommen, ohne manuell das "Wow6432Node" reinzupacken?

Ich möchte das nur zur Anzeige nutzen, nicht zum Zugriff auf die Registry. Das soll es dem Benutzer erleichtern, im Fall des Falles zum Schlüssel zu navigieren (z.B. im regedit).

MfG Dalai

[himitsu]

Wenn man in die Quellcodes schaut, wo CurrentPath her kommt, dann ist klar, daß dort immer nur das raus kommt, was man eingibt und das muß nichtmal der vollstädige Pfad sein. (speziell wenn man als RootKey den HKEY eines Unterverzeichnisses nimmt)

Und warum kommt eigentlich niemand auf die Idee in die Dokumentation zu schauen, ob es einen Befehlt gibt, der die gewünschte Information aus einem HKEY auslesen tut?
https://msdn.microsoft.com/en-us/lib.../ms724875.aspx

[Dalai]

Zitat:

Zitat von himitsu (Beitrag 1300897)

Wenn man in die Quellcodes schaut, wo CurrentPath her kommt, dann ist klar, daß dort immer nur das raus kommt, was man eingibt und das muß nichtmal der vollstädige Pfad sein.

Selbstverständlich habe ich das getan. Daher auch mein Hinweis im OP.

Zitat:

Und warum kommt eigentlich niemand auf die Idee in die Dokumentation zu schauen, ob es einen Befehlt gibt, der die gewünschte Information aus einem HKEY auslesen tut?
https://msdn.microsoft.com/en-us/lib.../ms724875.aspx

Ja, genau damit habe ich die vergangenen Stunden verbracht. Welche Funktion bringt mich denn deiner Meinung nach weiter? Da ich nichts fand, frag(t)e ich hier. Es ist ja auch schwierig, danach zu suchen, weil man nur die üblichen Geschichten findet, um die es mir nicht geht.

MfG Dalai

[himitsu]

Und, nichts gefunden?

Liegt wohl daran, daß es "offiziell" keine Möglichkeit gibt,
außer vielleicht Redirection/Reflection abzuschalten. :zwinker:


https://msdn.microsoft.com/en-us/lib.../aa384182.aspx




















http://stackoverflow.com/questions/9...ey-handle-in-c

[Dalai]

Zitat:

Zitat von himitsu (Beitrag 1300912)

Liegt wohl daran, daß es "offiziell" keine Möglichkeit gibt,
außer vielleicht Redirection/Reflection abzuschalten. :zwinker:

Nein, das hat keinen Sinn:

Zitat:

[The information in this topic applies to Windows Server 2008, Windows Vista, Windows Server 2003, and Windows XP. Starting with Windows 7 and Windows Server 2008 R2, WOW64 no longer uses registry reflection and formerly reflected keys are shared instead.

Davon abgesehen ist hier nichts mit Reflection, denn die macht etwas, was auf den gewünschten Schlüssel nicht zutrifft:

Zitat:

The process of registry reflection copies registry keys and values between two registry views to keep them synchronized.

In diesem Schlüssel wird nichts synchron gehalten, die sind getrennt voneinander.

Zitat:

https://msdn.microsoft.com/en-us/lib.../aa384182.aspx

Ja, das Beispiel hab ich mir angeschaut, aber das gibt eben auch keinen derartigen Pfad aus...

Zitat:

http://stackoverflow.com/questions/9...ey-handle-in-c

Das muss ich mir mal anschauen. Danke.

MfG Dalai

[jaenicke]

Ein Beispiel zu NTQueryKey gibt es ja auch von himitsu:
http://www.delphipraxis.net/711992-post29.html

[Dalai]

So, nachdem ein erstes Win32-Kompilat sofort funktionierte und ich einige Stunden brauchte, um herauszufinden, dass Enums für die API 4 Byte groß sein müssen, funktioniert es nun auch mit Win64.

Den Code hab ich aus verschiedenen Quellen zusammengestöpselt, vor allem von dieser russischen Seite, und ein bisschen angepasst:

Delphi-Quellcode:

type NTSTATUS = Cardinal;

  {$MINENUMSIZE 4}
  KEY_INFORMATION_CLASS = (KeyBasicInformation, KeyNodeInformation, KeyFullInformation,
                           KeyNameInformation, KeyCachedInformation, KeyFlagsInformation,
                           KeyVirtualizationInformation, KeyHandleTagsInformation, MaxKeyInfoClass);
  {$MINENUMSIZE 1}

  KEY_NAME_INFORMATION = packed record
    NameLength: ULONG;
    Name:       array[0..0] of WideChar;
  end;
  PKEY_NAME_INFORMATION = ^KEY_NAME_INFORMATION;

function NtQueryKey(KeyHandle: HKEY; KeyInformationClass: KEY_INFORMATION_CLASS; KeyInformation: Pointer;
                    Length: ULONG; ResultLength: PULONG): NTSTATUS; stdcall; external 'ntdll.dll';

//------------------------------------------------------------------------------

function GetNtKeyNameFromHKEY(const AHKEY: HKEY): string;
var Len: Cardinal;
    Info: PKEY_NAME_INFORMATION;
    Name: PWideChar;
begin
  NtQueryKey(AHKEY, KeyNameInformation, nil, 0, @Len);
  GetMem(Info, Len);
  try
    if NtQueryKey(AHKEY, KeyNameInformation, Info, Len, @Len) = 0 then
    begin
      GetMem(Name, Info.NameLength + 2);
      try
        Move(Info.Name, Name^, Info.NameLength);
        Name[Info.NameLength div 2]:= #0;
        {$IFDEF UNICODE}
        Result:= Name;
        {$ELSE}
        Result:= AnsiString(Name);
        {$ENDIF}
       finally
         FreeMem(Name);
       end;
     end;
  finally
    FreeMem(Info);
  end;
end;

//------------------------------------------------------------------------------

procedure TForm1.Button1Click(Sender: TObject);
const KEY = '\Software\Microsoft\Windows\CurrentVersion\Run';
var reg: TRegistry;
begin
//    ShowMessage(IntToStr(SizeOf(KEY_INFORMATION_CLASS)));
    reg:= TRegistry.Create(KEY_READ);
    reg.RootKey:= HKEY_LOCAL_MACHINE;
    try
      if reg.OpenKey(KEY, False) then begin
          Edit1.Text:= reg.CurrentPath;
          Edit2.Text:= GetNtKeyNameFromHKEY(reg.CurrentKey);
      end;
    finally
      reg.Free;
    end;
end;

Nun, das funktioniert auch gut und gibt auf einem XP64

Code:

\REGISTRY\MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run

zurück. Da ich die Schlüssel aber gern im normalen Format haben möchte, muss hinterher noch ein StringReplace erfolgen. Nun weiß ich aber eigentlich schon vorher, ob hier ein Wow6432Node rauskommen müsste, denn ich habe ein Enum der verschiedenen Schlüssel, in dem die 32 und 64 Bit Zweige getrennt aufgeführt sind.

Fazit: Ich hab die Wahl zwischen NtQueryKey + StringReplace oder nur StringReplace (bzw. Verketten von Strings, wenn man es entsprechend anstellt) :cyclops:.

Unabhängig davon danke an himitsu für den richtigen Hinweis!

MfG Dalai