逆向分析注册表特殊路径解析

1. 研究背景： 在做注册表路径解析时，会出现一些特殊路径。
2. 从经验来看，操作系统运行这些特殊路径的时候，肯定会进行一个搜索操作。

3.开始->运行里面输入的命令，最终是由  explorer.exe进程中的 ShellExecuteEx  API 执行的。

 

4.ShellExecute(0,'open','cmd.exe',nil,nil,SW_NORMAL);这里并没有写入 cmd.exe 的全路径，但是这句代码执行后，同样可以打开一个 cmd 命令行窗口。

 

5.使用调试器对 ShellExecute 内部汇编函数进行跟踪。

6.到MSDN 上搜索 SearchPath 函数的信息。

7.最终跟踪出来的调用流程如下。

ShellExecuteW ->GetEnvironmentVariableW ->SearchPathW->CreateProcessW

总结：在解析之前，先获得环境变量 GetEnvironmentVariable('path')

再使用 SearchPath 函数去搜索指定的文件路径即可。