注册表笔记

注册表示存储系统各方面配置信息的数据库

HKEY_LOCAL_MACHINE
系统配置信息和参数，例如硬件、软件和安全设置

HKEY_CLASSES_CONFIG
硬件配置信息

HKEY_CLASSES_ROOT
文件关联和OLE信息

HKEY_CURRENT_USER
关于当前登录用户的信息，例如桌面设置和网络连接

HKEY_USERS
本地用户账号信息。每个用户的信息都存储在单独的子键中
其实HKEY_CLASSES_ROOT 和HKEY_CURRENT_CONFIG是 HKEY_LOCAL_MACHINE的一部分
HKEY_CURRENT_USER是HKEY_USERS的一部分。
HKEY_LOCAL_MACHINE包含了HKEY_CLASSES_ROOT和HKEY_CURRENT_CONFIG的所有内容。每次计算机启动
时，HKEY_CURRENT_CONFIG 和HKEY_CLASSES_ROOT的信息被映射用以查看和编辑。

HKEY_CLASSES_ROOT其实就是HKEY_LOCAL_MACHINE/SOFTWARE/Classes，但是在HKEY_CLASSES_ROOT窗编辑
相对来说显得更容易和有条理。

HKEY_USERS保存着缺省用户信息和当前登陆用户信息。当一个域成员计算机启动并且一个用户登陆，域控
制器自动将信息发送到HKEY_CURRENT_USER 里，而且HKEY_CURRENT_USER信息被映射到系统内存中。其他
用户的信息并不发送到系统，而是记录在域控制器里。

键值数据类型

二进制(BINARY)
在注册表中，二进制是没有长度限制的，可以是任意个字节的长度。在注册表编辑器中，二进制数据以
十六进制的方式显示出来。

DWORD值(DWORD) 　　
DWORD值是一个32位（4个字节，即双字）长度的数值。在注册表编辑器中，你将会发现系统以十六进制
的方式显示DWORD值。在编 辑DWORD数值时，可以选择用二进制、十进制或是十六进制的方式进行输入。

字符串值(SZ) 　　在注册表中，字符串值一般用来表示文件的描述、硬件的标识等。通常它由字母和数
字组成。文本输入栏中的内容即为一个键值，它是一种字符串值类型。通过键值名、键值就可以组成一种
键值项数据，这就相当于Win.ini、System.ini文件中小节下的设置行。其实，使用注册表编辑器将这些
键值项数据导出后，其形式与.ini文件中的设置完全一样。

系统文件优化

1清除冗余dll文件 HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/SharedDlls 右
侧以文件路径命名的DWORD数据表明该键值项代表的Dll文件在系统中有几个程序使用 如数值为0可删除

2清除内存中dll文件 HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer
将AlwaysUnloadDLL的REG_SZ型数据值设置为

开关机

1彻底删除启动标签中的选项
HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run 删除右侧子键 Run :
程序在启动时运行 RunOnce : windows初始化时程序在启动时只运行一次，这个经常用在当安装软件之后
需要重新启动系统的时候，所以 这个键一般都是空的。 RunServices : 它就象Run一样，但是包含了“服
务”，它不象一般的程序它们是比较重要的或者是“系统”程序。但是它们不是VXDs, 就象McAfee或者RegServ
工作一样。
RunServicesOnce : 它只运行一次，但是是“系统自身”的安装（大量的windows安装参数:通常键值包括了系统
目录位置，和win95更 新，可选项安装组件，和windows启动目录的子键。 注意：在很多黑客木马软件中，常
常在这里添加键值（一般是在Run中），这样使得木马软件可以随着windows启动而启动并且很隐秘。
在这里可以查看不正常的启动项和去掉无用的运行程序。

2设置程序开机运行
HKEY_LOCAL_MACHINE/Software/Microsoft/Wondows/CurrentVersion/RunOnce 新建名
为1的REG_SZ型数据，将其值设置为本机上该程序的路径

3解决系统启动找不到文件(非系统必须的)
在注册表中Ctrl+F查找此文件相关的项键值或数据，找到后删除

4关机时清除文档的历史记录(Windows XP)
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion
/Policies/Explorer 右侧新建或修改ClearRecentDocsOnExit的REG_BINARY型数据将值设为01000000 若要恢复
默认将ClearRecentDocsOnExit键删掉

5关机时删除页面文件(Windows XP)
HEKY_LOCAL_MACHINE/System/CurrentControlSet/Control/Session Manager
/Memory Management ClearPageFileAtShutdown的REG_DWORD型数据，1删除 0不删除

网络

1禁止自动安装组件 HEKY_LOCAL_MACHINE/Software/Policies/Microsoft/Internet Explorer/Infodelivery/Restrictions 修改
或新建NoJITSetup的REG_SZ型数据,值设为1

2禁止修改IE标题： HKEY_CLASSES_ROOT下，找到.Js主键，将默认
的JsFile改成任意名（如Abc）。然后在HKEY_CLASSES_ROOT下， 找到JScript，JScript Author，JScript.Encode，
JSFile，JSFile.HostEncode将其全部删除。

3禁止修改IE主页：
打开注册表，在HKEY_USERS/.DEFAULT/Software/Policies/Microsoft/下新建主键Internet Explorer然后在新建的
Internet Explorer下再新建一个名为Control Panel的主键，并为Control Panel的主键新建一个DWORD值，将键值
设 为1即可。完成这一步后，Internet选项－常规中的主页就会变成灰色。

4更改IE标题
HKEY_LOCAL_MACHINE/Software/Microsoft/Internet Explorer/Main主键，将Window Title删除
或修改成自己喜欢的内容即可 5锁住注册表编辑器 HKEY_CURRENT_USER/Software/Microsoft/Windows
/CurrentVersion/Policies/System DisableRegisteryTools的数值设为1 若要解除锁定，重起F8安全模式运行命令
将DisableRegisteryTools值设为0或删除

硬件隐藏磁盘驱动器
HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer 新建或修改NoDrivers
的REG_DWORD数据将其值设为要隐藏的驱动器的值(十进制) C 4 D8 E16 F32 G64 H128 I256 J512 K1024