绝对是问题，我是HOOKAPI来拦截REG注册表的函数，但是.......

Question

绝对是问题，我是HOOKAPI来拦截REG注册表的函数，但是.......如果程序用ADVAPI32.dll的注册表函数，拦截一般都没有问题。
但是我对边锋的asdegame.exe,，用APIS32.exe查看是用AVDAPI32.dll的，可是居然拦截不到，用Regmon.exe是可以的。而边锋里的double.exe是没有用AVDAPI32.dll的，当然我也拦截不到了，可是Regmonexe也报告说double.exe也有注册表操作，真的是奇怪了。难道注册表操作的函数出了ADVAPI32。dll里的除外，还有其它的？请大侠指点迷津～～～～

Answer 1

边锋里的double.exe 是不是16位的.

Answer 2

to－》3jaja
怎么判断double.exe是16位？如果是16位，截获是否和32位的方法一样呢？

Answer 3

判断是否是16位：Depends这个你用过吧，用它来打开double.exe看看。如果是32位的就能看到它调用的DLL。16位的不行。

Answer 4

试试这个吧，在9X下基本上可以，在NT/2K下100%拦截。如果没有拦到，基本上可以认为
没有调用吧。自动调试监视器。
http://liangs99.myetang.com/pengchunhua/debugapispy.zip

Answer 5

还有一种可能就是动态链接的别的库，由别的库调用的注册表而不是主程序调用的。
用IAT就有这个问题，要将所有内存中的模块的调用都找到并替换才行