1）Windows运用程序的文件与注册表操作进入R0层之后，都有对应的内核函数实现。在windows内核中，无论打开的是文件、注册表或者设备，都需要使用InitializeObjectAttributes来初始化一个OBJECT_ATTRIBUTES结构体：
1 VOID InitializeObjectAttributes(
2 [out] POBJECT_ATTRIBUTES InitializedAttributes, //OBJECT_ATTRIBUTES的指针
3 [in] PUNICODE_STRING ObjectName, //对象名字字符串（文件则为路径）
4 [in] ULONG Attributes, //填OBJ_CASE_INSENSITIVE（不区分大小写）|OBJ_KERNEL_HANDLE（内核句柄）
5 [in] HANDLE RootDirectory, //填NULL
6 [in] PSECURITY_DESCRIPTOR SecurityDescriptor //安全描述符，使用内核句柄（OBJ_KERNEL_HANDLE）时忽略
7 );
2）打开文件（ZwCreateFile）和关闭文件（ZwClose）：
1 NTSTATUS ZwCreateFile(
2 [Out] PHANDLE FileHandle,//文件句柄指针，它指向打开的文件句柄值
3 [In] ACCESS_MASK DesiredAccess,//申请权限，读写操作，修改文件属性，删除文件等
4 [In] POBJECT_ATTRIBUTES ObjectAttributes,//对象描述，见八（1）
5 [Out] PIO_STATUS_BLOCK IoStatusBlock,//操作结果结构，成功或失败，失败原因
6 [In] PLARGE_INTEGER AllocationSize,//很少使用，置为NULL
7 [In] ULONG FileAttributes,//新建立的文件属性，一般为FILE_ATTRUBITE_NORMAL
8 [In] ULONG ShareAccess,//共享访问，本次打开后允许其他对象以什么方式打开
9 [In] ULONG CreateDisposition,//本次打开意图，如新建或者覆盖
10 [In] ULONG CreateOptions,//打开选项，如打开文件还是目录，同步打开还是异步打开
11 [In] PVOID EaBuffer,//置为NULL
12 [In] ULONG EaLength//置为0
13 );
示例：
1 HANDLE file_handle = NULL;//要返回的文件句柄
2 NTSTATUS status;//返回值
3
4 //首先初始化含有文件路径的OBJECT_ATTRIBUTES
5 OBJECT_ATTRIBUTES object_attributes;
6 UNICODE_STRING ufile_name = RTL_CONSTANT_STRING(L"\\??\\c:\\a.dat");
7 //要使用对象路径，“C:”是符号链接对象，一般在“\\??\\”
8 InitializeObjectAttributes(
9 &object_attributes,
10 &ufile_name,
11 OBJ_CASE_INSENSITIVE|OBJ_KERNEL_HANDLE,
12 NULL,
13 NULL);
14 //以OPEN_IF方式打开
15 IO_STATUS_BLOCK io_status;
16 status = ZwCreateFile(
17 &file_handle,
18 GENERIC_READ|GENERIC_WRITE,//普通读写
19 &object_attributes,
20 &io_status,
21 NULL,
22 FILE_ATTRIBUTE_NORMAL,//新建立文件为为普通属性
23 FILE_SHARE_READ,//打开文件到关闭前，允许被其他进程已读方式打开
24 FILE_OPEN_IF,//文件存在则打开，不存在则新建
25 FILE_NON_DIRECTORY_FILE|FILE_RANDOM_ACCESS|FILE_SYNCHRONOUS_IO_NONALERT,//打开文件，随机存取打开，同步打开
26 NULL,
27 0);
内核文件句柄的关闭不需要在同一个进程当中，调用ZwClose(file_handle);即可
3）文件读（ZwReadFile）和文件写（ZwWriteFile），方法对称，只不过参数输入输出方向不同。
1 NTSTATUS ZwReadFile(
2 IN HANDLE FileHandle,//文件句柄，由ZwFileCreate获取
3 IN HANDLE Event OPTIONAL,//事件，用于异步完成读。同步置位NULL
4 IN PIO_APC_ROUTINE ApcRoutine OPTIONAL,//回调例程，用于异步完成读
5 IN PVOID ApcContext OPTIONAL,
6 OUT PIO_STATUS_BLOCK IoStatusBlock, //返回结果状态
7 OUT PVOID Buffer, //缓冲区，读成功则内容在该缓冲区
8 IN ULONG Length,//描述缓冲区长度，即试图读取文件的长度
9 IN PLARGE_INTEGER ByteOffset OPTIONAL,//读取内容在文件中的起始偏移量
10 IN PULONG Key OPTIONAL//附加信息，一般置为NULL
11 );
ZwWriteFile参数与它类似。
4）内核编程读取HKEY_LOCAL_MACHINE时使用路径“\Registry\Machine”，而读取HKEY_USERS时使用“\Registry\User”，由于内核程序不是面向某个“当前用户”的，所以，没有HKEY_CURRENT_USER和HKEY_CLASSES_ROOT对应的路径。
5）打开注册表（ZwOpenKey或者ZwCreateKey）、读注册表（ZwQueryValueKey）和写注册表（ZwSetValueKey）：
1 ZwOpenKey原型：
2 NTSTATUS ZwOpenKey(
3 OUT PHANDLE KeyHandle,//返回的句柄
4 IN ACCESS_MASK DesiredAccess,//权限，如读、设置、生成子键、枚举子键权限
5 IN POBJECT_ATTRIBUTES ObjectAttributes//指向OBJECT_ATTRIBUTES
6 );
7
8 ZwQueryValueKey原型：
9 NTSTATUS ZwQueryValueKey(
10 IN HANDLE KeyHandle,//句柄，由ZwOpenKey或ZwCreateKey取得
11 IN PUNICODE_STRING ValueName,//要读取的键名
12 IN KEY_VALUE_INFORMATION_CLASS KeyValueInformationClass,//读取信息的类型
13 OUT PVOID KeyValueInformation,
14 IN ULONG Length,//传入的KeyValueInformation的长度
15 OUT PULONG ResultLength//返回实际需要的长度
16 );
KeyValueInformationClass有3种类型：KeyValueBaseInformation（基础信息：值名和类型）、KeyValueFullInformation（完整信息：值名、类型和数据）和KeyValuePartialInformation（局部信息：类型和数据）。值名是已知的，所以通常是使用KeyValuePartialInformation，此时，KeyValueInformation参数将返回一个KEY_VALUE_PARTIAL_INFOMATION的结构体的指针。它的原型为：
1 typedef struct _KEY_VALUE_PARTIAL_INFORMATION {
2 ULONG TitleIndex; //忽略
3 ULONG Type; //数据类型（REG_BINARY（16进制）、REG_DWORD（4字节整数）、REG_SZ（以空结束的Unicode字符串））
4 ULONG DataLength; //数据长度
5 UCHAR Data[1]; //可变长度的数据
6 } KEY_VALUE_PARTIAL_INFORMATION, *PKEY_VALUE_PARTIAL_INFORMATION;
7
8 ZwSetValueKey原型（写入的键存在怎覆盖，不存在则新建）：
9 NTSTATUS ZwSetValueKey(
10 IN HANDLE KeyHandle,
11 IN PUNICODE_STRING ValueName,
12 IN ULONG TitleIndex OPTIONAL,//始终填入0
13 IN ULONG Type,
14 IN PVOID Data,//要写入的数据起始地址
15 IN ULONG DataSize//要写入的长度
16 );
示例：
1 #define MEM_TAG ‘MyTt’
2 //读取windws目录，在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion中的SystemRoot键中
3 //要读取的键名
4 UNICODE_STRING my_key_name = RTL_CONSTANT_STRING(L"SystemRoot");
5 //用来试探大小的key_info
6 KEY_VALUE_PARTIAL_INFORMATION key_info;
7 //最后实际用到的key_info指针。内存分配在堆中
8 PKEY_VALUE_PARTIAL_INFORMATION ac_key_info;
9 ULONG ac_lenth;
10
11 HANDLE my_key = NULL;
12 NTSTATUS status;
13
14 //定义要获取的路径
15 UNICODE_STRING my_key_path = RTL_CONSTANT_STRING(L"\\Registry\\Machine\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion");
16 OBJECT_ATTRIBUTES my_obj_attr = {0};
17
18 //初始化OBJECT_ATTRIBUTES
19 InitializeObjectAttributes(
20 &my_obj_attr,
21 &my_key_path,
22 OBJ_CASE_INSENSITIVE,
23 NULL,
24 NULL);
25
26 //打开KEY
27 status = ZwOpenKey(&my_key,KEY_READ,&my_obj_attr);
28 if ( !NT_SUCCESS(status) )
29 {
30 //处理失败
31 }
32
33 //读取KEY的值
34 status = ZwQueryValueKey(
35 my_key,
36 &my_key_name,
37 KeyValuePartialInformation,
38 &key_info,
39 sizeof(KEY_VALUE_PARTIAL_INFORMATION),
40 &ac_lenth);
41 if ( !NT_SUCCESS(status) &&
42 status != STATUS_BUFFER_TOO_SMALL &&
43 status != STATUS_BUFFER_OVERFLOW)
44 {
45 //处理失败
46 }
47
48 //如果没有失败，则分配存储空间不足，再次获取
49 ac_key_info = (PKEY_VALUE_PARTIAL_INFORMATION)
50 ExAllocatePoolWithTag(NonPagedPool,ac_lenth,MEM_TAG);
51
52 if ( ac_key_info == NULL )
53 {
54 status = STATUS_INSUFFICIENT_RESOURCES;
55 //错误处理
56 }
57
58 status = ZwQueryValueKey(
59 my_key,
60 &my_key_name,
61 KeyValuePartialInformation,
62 ac_key_info,
63 ac_lenth,
64 &ac_lenth);
65 if ( !NT_SUCCESS(status) )
66 {
67 //处理失败
68 }
69 //成功读取数据到ac_key_info->data中