大多数都知道windows系统中有个叫注册表的东西，但却很少有人会去深入的了解它的作用以及如何对它进行操作。然而对于计算机取证人员来说注册表无疑是块巨大的宝藏。通过注册表取证人员能分析出系统发生了什么，发生的时间以及如何发生的等。在本文中我将为大家详细介绍Windows注册表的工作原理，以及如何对收集用户留下的各类指纹信息。

什么是注册表？

注册表是用于存储Windows系统用户，硬件和软件的存储配置信息的数据库。虽然注册表是为了配置系统而设计的，但它可以跟踪用户的活动，连接到系统的设备，什么时间什么软件被使用过等都将被记录在案。所有这些都可用于取证人员，分析溯源用户的恶意或非恶意行为。

蜂巢

在注册表中，有根文件夹。这些根文件夹被称为蜂巢。 以下是5个注册表的配置单元：

  • HKEY_USERS：包含所有加载的用户配置文件

  • HKEYCURRENT_USER：当前登录用户的配置文件

  • HKEY_CLASSES_ROOT：包含所有已注册的文件类型、OLE等信息

  • HKEYCURRENT_CONFIG：启动时系统硬件配置文件

  • HKEYLOCAL_MACHINE：配置信息，包括硬件和软件设置

注册表结构

注册表由键、子键和值项构成，一个键就是分支中的一个文件夹，而子键就是这个文件夹中的子文件夹，子键同样是一个键。一个值项则是一个键的当前定义，由名称、数据类型以及分配的值组成。一个键可以有一个或多个值，每个值的名称各不相同，如果一个值的名称为空，则该值为该键的默认值。通常，值是0或1，意味着开或关，也可以包含通常以十六进制显示的更复杂的信息。

注册表结构

访问注册表

在我们普通的windows系统上，我们可以使用Windows内置的regedit实用程序来访问注册表。我们只需在左下角开始界面的搜索框内键入regedit，然后单击便可打开我们的注册表编辑器。