ceedo 的实现原理

Question

哪位大虾有用过ceedo.凡是用ceedo启动的程序,读取注册表的时候都是到一个特定的注册表键值下(HKCU\SOFTWARE\CEEDO\...),(包含了注册表的总体结构).
这是怎么实现的呢?/用API HOOK??不像,卡巴的应用程序运行监控没有报警.REGMON看到的是由CEEDO启动的程序在读取注册表(HKCU\SOFTWARE\CEEDO\...).
通过这个操作,将所有配置文件全部定位到了移动存储设置上.
貌似用到了Shell 编程.
有没有哪位大虾能讲解一下.

Answer 1

没用过卡马可以监控到所有的API HOOK操作?

Answer 2

卡巴6有注册表监控功能.
不是怎样读注册表.
而是通过CEEDO启动的程序读取的注册表键值与直接启动的程序读取的不一样.
比如某程序正常读取的键值是HKCU\SOFTWARE\下的某个值,但通过CEEDO启动这个程序读取的是\HKCU\SOFTWARE\CEEDO\NNPLAYER\0002\HKCU\SOFTWARE\下的键值.就像做了一个注册表映射一样.
不知道这样描述是不是够清楚了.

Answer 3

RegOverridePredefKey可以实现这部分功能.
但如何让创建的进程在指定的环境中运行呢(去年包括注册表访问)?
是用CreateProcessAsUser吗?

Answer 4

就是api hook。ring3下的。不信你拿XueTr检测一下被虚拟执行程序的钩子。