如何挂钩新创建的Registry

Question

我知道如何挂钩API。但我不知道在新创建注册表时调用了什么API。

我想检测注册表创建时间，我想知道密钥，数据 是否有任何API可用于与注册表相关的挂钩？
如何知道API是最好的？

Answer 1

我解决了这个问题。

通过msdn和procmon.exe，在创建注册表时调用ZwCreateKey。 所以我挂钩这个API。获取数据！

但我仍然不清楚ZwCreateKey是否最合适。