建立 Windows

建立 Windows

CreateNewWindows，這是一個導出函數，在isolation.h 中有定義：

HRESULT __stdcall CreateNewWindows(

    _In_ DWORD dwFlags,

    _In_ LPCWSTR pszSystemDrive,

    _Inout_  POFFLINE_STORE_CREATION_PARAMETERSpParameters,

    _Out_opt_  PVOID *ppvKeys,

    _Out_opt_  DWORD *pdwDisposition);

CreateNewWindows 調用CreateWindows，

CreateWindows調用：

PrivilegeAcquisition::Acquire

CreateImportantFiles

CreateImportantRegKeys

還有兩個相似的導出函數，CreateNewPseudoWindows 和 CreateNewPseudoWindowsEx：

HRESULT __stdcall CreateNewPseudoWindows(

    _In_ DWORD dwFlags,

    _In_opt_  LPCWSTR pszDirectoryRoot,

    _In_opt_  LPCWSTR pszRegistryRoot,

    _Inout_  POFFLINE_STORE_CREATION_PARAMETERSpParameters);

HRESULT __stdcall CreateNewPseudoWindowsEx(

    _In_ DWORD dwFlags,

    _In_opt_  LPCWSTR pszDirectoryRoot,

    _In_opt_  LPCWSTR pszRegistryRoot,

    _Inout_  POFFLINE_STORE_CREATION_PARAMETERSpParameters,

    _Out_opt_  PVOID *ppvRootkey);

在CCSIExternalTransformerExecutor初始化中會調用CreateNewPseudoWindows。

CreateNewPseudoWindows就調用了CreateNewPseudoWindowsEx。

CreateNewPseudoWindowsEx 又調用了 CreatePseudoWindows。

CreatePseudoWindows就直接調用建立目錄、建立鍵。

DWORDd = 0;

LPVOIDppvKeys;

OFFLINE_STORE_CREATION_PARAMETERSpParameters = { sizeof(pParameters) };

pCreateNewPseudoWindows(0, L"C:\\CSITEST", L"HKCU\\CSITEST", &pParameters);

pCreateNewWindows(1, L"C:\\CSITEST", &pParameters, &ppvKeys, &d);

pDismountRegistryHives(ppvKeys);

CreateNewPseudoWindows建立了的目錄和鍵,重要的是用這些值對OFFLINE_STORE_CREATION_PARAMETERS 進行了初始化;

CreateNewWindows就建立了系統資料庫檔案，并把系統資料庫檔案挂載到HKEY_LOCAL_MACHINE\{bf1a281b-ad7b-4476-ac95-f47682990ce7}，形成如HKEY_LOCAL_MACHINE\{bf1a281b-ad7b-4476-ac95-f47682990ce7}C:/CSITEST/system_volume/Users/Default/NTUSER.DAT這樣的 11 個挂接點。

那麼，以後對這裡的操作就應該相當于對離線映像的操作了。

DismountRegistryHives把 11 個挂接點解除安裝掉。