深入Windows操作系统1-注册表基础与应用

深入Windows操作系统注册表基础与高级应用注册表的基本构成相关概念主要根键物理文件注册表工具系统自带编辑器regedit、命令行reg第三方工具regscanner、autoruns等实用案例实用技巧主要内容基本概念--注册表Registry系统数据库引导和配置信息软件设置安全数据库用户配置信息硬件信息基本构成键(Key)值(Value)数据(Data)35大根键（rootkey）实际上有3个HKEY_LOCAL_MACHINE记录了当前操作系统的全局配置信息包括硬件配置、操作系统和应用软件的公共配置驱动、服务、启动项、软件版本和安装路径HKEY_CLASSES_ROOTHKEY_USERS记录了所有Windows用户的配置信息HKEY_CURRENT_USERHKEY_CURRENT_CONFIG记录了当前系统和软件的部分信息，几乎很少涉及主要根键Hive储巢文件文件位置windows\system32\config物理存储Regedit系统自带的注册表编辑器可视化的操作工具可以查看、编辑、搜索、导入导出键值收藏夹、加载配置单元注册表工具-Regedit系统自带的命令行工具备用工具常用命令REGQUERY查看REGADD/DELETE添加/删除REGSAVE/RESTORE备份/恢复储巢文件REGLOAD/UNLOAD装载/卸载配置单元REGCOMPARE比较REGEXPORT/IMPORT导入/导出注册表文件注册表工具-Reg注册表搜索利器多条件查询一次查询，显示所有结果跳转编辑注册表工具Regscanner专注Windows自启动相关的注册表项注册表工具Autoruns•功能特色：1.查看系统所有自启动项，包括开机（应用程序、服务、驱动）、Explorer\IE插件、音视频解码等17个大项2.直接看到应用程序图标和路径、映像名称，颜色标记，更易识别和判断3.勾选/取消勾选，立即生效4.注册表跳转，便于手工操作和学习案例1：取消开机错误提示案例2：服务无法启动或缺失案例3：删除右键菜单中的多余项目案例4：键盘无法驱动扩展：系统图标与注册表典型案例现象：每次开机进到桌面，都会弹出应用程序的提示框，如下图实战Autoruns：取消开机错误提示现象：启动一些系统服务时，如音频服务WindowsAudio1.无法启动，提示“错误126：找不到指定的模块”；2.服务列表中没有该项服务实战Autoruns：服务无法启动或缺失异常正常现象：右键菜单有一些第三方的项目，已卸载软件仍存在实战Autoruns：编辑Explorer上下文菜单实战Autoruns：编辑Explorer上下文菜单（续）新工具：Shmnview.exeShexview.exe注册表案例键盘无驱动问题【故障现象】键盘无法使用，设备管理器显示：代码19：由于其配置信息（注册表中的）不完整或已损坏，Windows无法启动这个硬件设备删除这个设备，在扫描硬件更新，找到后依然是这个错误提示。【解决方案】1、定位注册表项，HKLM\SYSTEM\CurrentControlSet\Control\Class\{4D36E96B-E325-11CE-BFC1-08002BE10318}2、删除值UpperFilters，卸载键盘设备，重启电脑，然后设备管理器里变成：“代码10：该设备无法启动”3、再次定位到以上注册表项，新建添加字符串值UpperFilters，修改内容为kbdclass4、再次卸载键盘设备，重启电脑，系统提示发现并成功安装了ps/2键盘驱动，安装成功。15扩展阅读：Winxp系统下，光驱盘符丢失，设备管理器里光驱有黄色叹号类标识符CLSID定义CLSID是指windows系统对于不同的应用程序，文件类型，OLE对象，特殊文件夹以及各种系统组件分配一个唯一表示它的ID代码，用于对其身份的标示和与其他对象进行区分。注册表位置HKEY_CLASSES_ROOT\CLSID\CLSID是一个128位的随机数算法1.一部分数字来自于系统网卡的序列号，由于每一个网卡的MAC地址都不一样，因此产生的ID也就会有差异。2.另外一部分数字来自于系统的当前时间和状态。16常用系统组件的CLSID系统内置图标的clsid定义了打开的内容，显示的图标，右键菜单属性等可以被改动常见系统组件的clsid我的文档：450D8FBA-AD25-11D0-98A8-0800361B1103我的电脑：20D04FE0-3AEA-1069-A2D8-08002B30309D网上邻居：208D2C60-3AEA-1069-A2D7-08002B30309D回收站：645FF040-5081-101B-9F08-00AA002F954EIE：871C5380-42A0-1069-A2EA-08002B30309D控制面板：21EC2020-3AEA-1069-A2DD-08002B30309D桌面恶意图标创建CLSID在注册表中添加位置以便显示HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpaceHKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace无法删除的设置17类标识符CLSID系统图标我的电脑（计算机）里的第三方图标创建CLSID在注册表中添加位置以便显示HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Mycomputer\NameSpaceHKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Mycomputer\NameSpace应当注意的注册表位置控制系统图标的显示与隐藏HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIconsHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\HideMyComputerIcons18其他操作自定义文件夹图标修改系统图标工具：魔方美化大师文件关联与图标文件图标与打开方式有关HKCR\.extHKCR\extfileHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExtsHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\FileExts19使用方向键和首字母实现快速定位使用第三方工具的跳转功能使用regscanner的搜索功能有“备”无患实用技巧