分享下nirsoft提供的注册表工具

目录

1、注册表扫描工具

1、下载地址，与工具说明

2、使用方式

​ 3、处理2步骤搜索到的结果

2、注册表对比工具

1、官方说明

2、使用方式

​ 3、注册表监听工具

1、官方说明

2、使用方式

​ 4、RegDllView小工具

1、官方说明

2、实际操作

5、ActiveXHelper小工具

1、官方说明

2、实际使用

6、RegFileExport工具使用

1、官方说明

2、使用方式

---

1、注册表扫描工具

1、下载地址，与工具说明

https://www.nirsoft.net/windows_registry_tools.html

RegScanner是一个小型实用程序，可让您扫描注册表，找到与指定搜索条件匹配的所需注册表值，并将它们显示在一个列表中。找到注册表值之后，只需双击所需的注册表项，即可轻松地在RegEdit中跳转到正确的值。您还可以将找到的注册表值导出到可在RegEdit中使用的.reg文件。

2、使用方式

解压上面下载的压缩包。

3、处理2步骤搜索到的结果

备注：

小工具搜索注册表，比在系统里直接Ctrl+F搜索不知快了多少，谁用谁知道，^_^

2、注册表对比工具

1、官方说明

    RegistryChangesView是Windows的工具，它使您可以拍摄Windows注册表快照，然后将其与另一个注册表快照，当前注册表或Windows创建的卷影副本中存储的注册表文件进行比较。比较两个注册表快照时，您可以看到两个快照之间在注册表中所做的确切更改，并且可以选择将注册表更改导出到RegEdit的标准.reg文件中。

备注：说白了，就是对比2个注册表文件差异的工具

2、使用方式

我们实际操作下，先创建一个快照链：

创建快照链后我们任意修改一个注册表项目的值，如将远程端口由默认的3389改为33890。

修改后对比下看看：

 

3、注册表监听工具

1、官方说明

    RegFromApp监视所选应用程序对注册表所做的更改，并创建一个标准RegEdit注册文件（.reg），其中包含应用程序对注册表所做的所有更改。您可以使用生成的.reg文件在需要时通过RegEdit导入这些更改。

2、使用方式

就拿我们常见的QQ来测试吧，没有设置开机自启动的时候，如下：

设置了开机自启动后如下：

因为我们知道，开机自启动，就是对注册表的修改，所以小工具没有问题，检测到了，由于软件的设置，导致注册表的更改。

备注：有些软件，是无法监听到的，例如火绒（即使以管理员的身份运行也是无法监听到火绒的，这也可以理解）。

4、RegDllView小工具

1、官方说明

RegDllView是一个小型实用程序，它显示所有已注册dll / ocx / exe文件（COM注册）的列表。对于每个注册文件，您可以查看其注册的最后日期/时间，以及所有注册条目的列表（CLSID / ProgID）。RegDllView还允许您注销系统上不再需要的dll / ocx文件。如果您的dll / ocx文件在系统上不再存在，但是其注册条目仍然存在于注册表中，则可以使用“删除所选文件的所有条目”选项手动删除这些条目。从版本1.35开始，RegDllView还允许您注册dll / ocx文件（如regsvr32），只需将一个或多个文件从Explorer文件夹拖到RegDllView的窗口中即可。

2、实际操作

目前还没有想到具体的例子，之后有的话，更新进来。

5、ActiveXHelper小工具

1、官方说明

ActiveXHelper是一个小型实用程序，可让您查看有关计算机上安装的ActiveX组件的基本信息。您可以通过从HKEY_CLASSES_ROOT \ CLSID注册表项中加载ActiveX组件来查看整个（非常大的！）列表，或者仅显示您指定的ActiveX组件。此外，您可以暂时禁用特定的ActiveX组件。禁用ActiveX组件后，除非再次启用它们，否则任何软件都无法使用它们。

2、实际使用

目前还没有想到具体的例子，之后有的话，更新进来。

6、RegFileExport工具使用

1、官方说明

RegFileExport是一个小型控制台应用程序，可让您轻松地从另一个磁盘驱动器上的脱机注册表文件中提取数据。RegFileExport读取注册表文件，对其进行分析，然后将注册表数据导出到Windows的标准.reg文件中。您可以导出整个注册表文件，也可以仅导出特定的注册表项。即使注册表文件已损坏且Windows无法加载，RegFileExport也可能能够导出某些注册表数据。

2、使用方式

备注：

此小工具是无法直接打开的，直接点击发生的现象是闪退，正确的方式是在cmd或者powershell中打开，如下：

Examples:
RegFileExport "E:\Windows\system32\config\SOFTWARE." "f:\temp\reg1.txt" "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion"
RegFileExport "SOFTWARE" "" "Software\Microsoft\Windows NT\CurrentVersion"
RegFileExport "NTUSER.DAT" "ntuser-reg.txt"
RegFileExport "NTUSER.DAT" "ntuser-reg.txt" "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion"

提示：通过以下方式查看注册表的实际物理路径。

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\hivelist]

此工具一般应用于系统挂了，但是需要看系统里的某个注册表里的具体配置，挂了的系统，系统文件（整个C盘）又可以拿出来的情况。