这个函数会打开两个注册表文件，master为不带后辍的，secondary为带后辍的。

system32\config\system和software就是这样被加载的。

查找过程，先找SAM，这个词不常见，grep一下找到一个配置表:

[code lang=”c”]

HIVE_LIST_ENTRY CmpMachineHiveList[] = {
    { L”HARDWARE”, L”MACHINE\\”, NULL, HIVE_VOLATILE    , 0                         ,   NULL,   FALSE,  FALSE,  FALSE},
    { L”SECURITY”, L”MACHINE\\”, NULL, 0                , 0                         ,   NULL,   FALSE,  FALSE,  FALSE},
    { L”SOFTWARE”, L”MACHINE\\”, NULL, 0                , 0                         ,   NULL,   FALSE,  FALSE,  FALSE},
    { L”SYSTEM”,   L”MACHINE\\”, NULL, 0                , 0                         ,   NULL,   FALSE,  FALSE,  FALSE},
    { L”DEFAULT”,  L”USER\\.DEFAULT”, NULL, 0           , CM_CMHIVE_FLAG_UNTRUSTED  ,   NULL,   FALSE,  FALSE,  FALSE},
    { L”SAM”,      L”MACHINE\\”, NULL, HIVE_NOLAZYFLUSH , 0                         ,   NULL,   FALSE,  FALSE,  FALSE},
    { NULL,        NULL,         0, 0                   , 0                         ,   NULL,   FALSE,  FALSE,  FALSE}
    };

[/code]

注册表应该就是从这里初始化的了。

再找引用：

[code lang=”c”]

    for (i = 0; i < CM_NUMBER_OF_MACHINE_HIVES; i++) {
        ASSERT( CmpMachineHiveList[i].Name != NULL );
        //  
        // just spawn the Threads to load the hives in parallel
        //  
        Status = PsCreateSystemThread(
            &Thread,
            THREAD_ALL_ACCESS,
            NULL,
            0,  
            NULL,
            CmpLoadHiveThread,
            (PVOID)(ULONG_PTR)(ULONG)i
            );  

        if (NT_SUCCESS(Status)) {
            ZwClose(Thread);
        } else {
            //  
            // cannot spawn thread; Fatal error
            //  
            CM_BUGCHECK(BAD_SYSTEM_CONFIG_INFO,BAD_HIVE_LIST,3,i,Status);
        }   
    }   

[/code]

这里为每个hive创建一个线程，进入CmpLoadHiveThread函数：

  [code lang=”c”] 

// <sysroot>\config\hive
    if (CmpMachineHiveList[i].CmHive == NULL) {

        //
        // Hive has not been initialized in any way.
        //

        CmpMachineHiveList[i].Allocate = TRUE;
        Status = CmpInitHiveFromFile(&FileName,
                                     CmpMachineHiveList[i].HHiveFlags,
                                     &CmHive,
                                     &(CmpMachineHiveList[i].Allocate),
                                     CM_CHECK_REGISTRY_CHECK_CLEAN
                                     );

        if ( (!NT_SUCCESS(Status)) ||
             (!CmpShareSystemHives && (CmHive->FileHandles[HFILE_TYPE_LOG] == NULL)) )
        {
            ErrorParameters = &FileName;
            ExRaiseHardError(
                STATUS_CANNOT_LOAD_REGISTRY_FILE,
                1,
                1,
                (PULONG_PTR)&ErrorParameters,
                OptionOk,
                &ErrorResponse
                );

        }

 [/code]

CmpInitHiveFromFile会调用CmpOpenHiveFiles，后者会调用zwcreatefile打开相应的注册表文件。

如果要保护注册表，在创建线程前处理一下就好了。还只是猜想，哪天闲出毛病了再试试。