简析Windows注册表

有关注册表的常识

百度百科：注册表是 Windows 中的一个重要的数据库，用于存储系统和应用程序的设置信息！其本质是一个树形层状的数据库，在命令行中输入regedit即可编辑本机的注册表，如下所示

注册表由主键、子键和值项构成。一个键就是分支中的一个文件夹，而子键就是这个文件夹当中的子文件夹。一个值项则是一个键的当前定义，由名称、数据类型以及分配的值组成。一个键可以有一个或多个值，每个值的名称各不相同，如果一个值的名称为空，则该值为该键的默认值。注册表值项的数据类型主要有四种：

• REG_SZ(字符串)：文本字符串
• REG_MULTI_SZ(多字符串值)：含有多个文本值的字符串
• REG_BINARY(二进制数)：二进制值，以十六进制显示
• REG_DWORD(双字值)：一个32位的二进制值，显示为8位的十六进制值

各个注册表项的含义

五大主键的作用
每个注册表都有上图所示的五个主键，以HKEY开头，这五个主键的含义分别为：

• HKEY_CLASSES_ROOT： 包含文件扩展名和文件类型，还包括我的电脑、回收站、控制面板等的类标识
• HKEY_CURRENT_USER：保存有当前登录的用户的配置信息
• HKEY_LOCAL_MACHINE：包含本机上所有软硬件的信息
• HKEY_USERS：保存着所有本机上用户的信息。包括通用设置(如应用程序事件)以及特定用户的设置(如桌面)
• HKEY_CURRENT_CONFIG：包含所有连结到此机上的硬件的配置数据,如打印机和显示器的配置数据

注意：HKEY_CLASSES_ROOT与HKEY_LOCAL_MACHINE\Software\Classes是同一个东西

注册表对应的文件
各个主键也会对应一个在Windows目录下的文件，在 Win7 系统下，对应的文件为DEFAULT，SAM，SECURITY，SOFTWARE，SYSTEM，NTUSER，其路径在C:\Windows\System32\config

HKEY_CLASSES_ROOT
该主键由多个子键组成，具体可分为两种:一种是已经注册的各类文件的扩展名，另一种是各种文件类型的有关信息！

HKEY_CURRENT_USER

• AppEvents：存储了各种应用事件以及关联的声音
• Identities：存储了和Outlook Express有关的设置信息
• Keyboard layout：存储了键盘布局设置
• Network：存储了当前用户的网络设置信息
• Software：存储了系统中各个软件的配置信息
• RemoteAccess ：存储了当前用户的拨号网络配置
• InstallLocationsMRU：存储了软件以及硬件驱动路径等
• Control Panel：存储了系统桌面、光标、图标、键盘鼠标等的配置信息

HKEY_LOCAL_MACHINE
病毒/木马最喜欢光顾的注册表项

• Hardware：存储了计算机硬件配置的一些信息
• SAM：存储了用户以及组相关信息
• Security：存储了具有管理权限的每个用户和组相关信息
• Software：存储了安装在计算机中的软件的配置信息
• System：存储了系统中的设备驱动程序等信息

实战注册表

自启动

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• HKCU\Software\MicrosoftWindows\CurrentVersion\RunOnce
• HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
• HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices
• HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup
• HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

HKCU=HKEY_CURRENT_USER
HKLM=HKEY_LOCAL_MACHINE，上述所有的都可以把HKCU换成HKLM

其它：

• HKCU\Software\Microsoft\WindowsNT\CurrentVersion\Windows\load
• HKLM\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit
• HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell
• ...

自启动配置文件：Win.ini System.ini wininit.ini

右键菜单

在文件上的右键菜单

• HKEY_CLASSES_ROOT\ *\OpenWithList (打开方式列表)
• HKEY_CLASSES_ROOT\ *\Shell

在空白处的右键菜单

• HKEY_CLASSES_ROOT\Directory\Background\Shell

在文件夹上的右键菜单

• HKEY_CLASSES_ROOT\Directory\Shell
• HKEY_CLASSES_ROOT\Folder\Shell (包含驱动器)

注意：
Shellnew 是关于新建选项的内容
CLSID 是关于COM组件的uuid
...\Shellex\ContextMenuHandlers 是扩展选项，键或值为uuid

系统服务

• HKLM\System\CurrentControlSet\Services
• HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
• HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices

注意：

CurrentControlSet 用于保存系统启动的重要配置信息，是从 ControlSet001 复制过来的副本，当系统成功启动后，ControlSet001 还会复制到 ControlSet002！ControlSet002 就是最近一次成功运行系统的配置信息，用于恢复系统

环境变量

• HKLM\System\CurrentControlSet\Control\SessionManager\Environment
• HKCU\System\CurrentControlSet\Control\SessionManager\Environment

END