五大根键说明

------------------------------------------------------------------------------

专业的黑客安全技术培训基地

多抽出一分钟时间来学习.让你的生命更加精彩.

动画教程只是起到一个演示作用.请大家不用利用此方法对国内的网络做任何破坏.

国人应该团结起来一致对外才是我们的责任.由此动画造成的任何后果和本站无关.

------------------------------------------------------------------------------ 教程主题: 完完全全学习注册表——透视Windows 2000/XP/2003五大根键

需要用到的软件：注册表(regedit.exe)

内容：

1.HKEY_CLASSES_ROOT根键

(1)扩展名与应用程序的对应关系

Windows所支持的文件类型(这些文件具有一定的文件扩展名)在HKEY_CLASSES_ROOT根键下定义。下表中列出了HKEY_CLASSES_ROOT根键中的文

件扩展名和文件类型之间的关系:

扩展名文件类型

.386 vxd文件(这是一个虚拟设备驱动程序)

.aif aiff文件[音频交换文件格式(Audio Interchange File Format)] .ai application/postscript文件

.aiff aiff文件

.aifc aiff文件

.art art文件[图像文件格式(Art director)]

.ani ani文件(光标动画文件)

.awd FaxView文档(用于传真的显示)

.au au文件(用于Internet传输的声音文件)

.avi avi文件

.snd au文件(一种声音文件格式)

.bfc Briefcase（这是一种公文包文件）

.bat bat文件(Dos、Windows下的批处理文件)

.cda cda文件(CD音轨文件)

.bmp Paint.picture(这是一个由画图附件所产生的图片文件)

.crt certificate文件(这是一个用于安全方面的证书认证文件)

.cnf Conferencelink(这是一个会议连接)

.clp Clipboard文件(用于保存剪切板中的内容)

.der certificate文件

.com com文件(这是DOS、Windows上一个命令解释程序，如https://www.360docs.net/doc/20888235.html,、https://www.360docs.net/doc/20888235.html,)

(2)特殊扩展名与应用程序的对应关系

我们在注册表编辑器中可以发现，HKEY_CLASSES_ROOT根键下的文件扩展名子键(如*、Bas 等)前面有”+”符号，而且在此文件扩展名中没有

对应的应用程序。为了查明这些文件后缀与应用程序之间的关系，我们必须单击“+”一次或者几次，才可以看到它们的关系。下面简要地介

绍这些特殊的文件后缀子键。

HKEY_CLASSES_ROOT\*

HKEY_CLASSES_ROOT\*\shellex

HKEY_CLASSES_ROOT\*\shellex\PropertySheetHandlers

HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers\{a2a9545d-a0c2-42b4-9708-a0b2bad d77c8}

以上的层次结构说明了*子键的文件类型与Windows系统中的外壳扩展中的属性页句柄建立了一种关联。

.bmp子键：

.bmp子键下面具有如下层次结构：

HKEY_CLASSES_ROOT\.bmp

HKEY_CLASSES_ROOT\.bmp\ShellNew

在ShellNew子键下面只有一个设置：

NullFile=将NullFile设置为空串，以便能将.bmp文件扩展名添加到系统的新建菜单中。

2.HKEY_CURRENT_USER根键

HKEY_CURRENT_USER根键中保存的信息(当前用户的子键信息)与HKEY_USERS\.Default分支中所保存的信息基本是相同的。任何对

HKEY_CURRENT_USER根键当中信息的修改都会导致对HKEY_USERS\.Default中子键信息的修改，反之也是如此。

3.HKEY_USERS根键

(1)AppEvents子键

HKEY_USERS根键中保存的是默认用户(.DEFAULT)、当前登录用户与软件(Software)的信息。HKEY_USERS\.DEFAULT\Software

中保存的软件信息与HKEY_LOCAL_MACHINE\Software相同。

HKEY_USERS\.Default下面有11个子键，下面是其中几个系统预定义的子键。

AppEvents：登录已注册的各种应用事件。

Control Panel：与控制面板设置有关的内容。

Keyboard Layout：键盘设置信息。

Software：软件的有关信息。

.DEFAULT子键的配置是针对未来将会被创建的新用户的。新用户根据默认用户的配置信息来生成自己的配置文件，该配置文件包括环境、屏

幕、声音等多种信息。

(2)Control Panel子键

Control Panel子键位于HKEY_USERS\.DEFAULT\Control Panel分支上，它所包含的内容与桌面、光标、键盘和鼠标等设置有关，

改变它们的键值也就将直接改变对应的工作环境或参数。

虽然Control Panel子键中的键值与环境和特性有直接关系，但很多参数的改变并不要求用户通过修改注册表来实现，而只需通过“控制面

板”即可进行修改。也有一些环境特性的改变只能通过修改注册表来实现，例如，改变等待弹出延迟时间。因此控制面板和注册表是一种包

含于的关系。(控制面板中的各项功能包含于注册表中)

A.Control Panel\Accessibility子键

{[提示]accessibility在英文中是可及性的意思，无障碍最初仅用于环境建设，指周围环境对残障人士生活、学习和工作不再构成障碍，后

来它被引入到信息科技领域，有了信息无障碍这个概念。信息无障碍是指确保在不同条件下的更多人能够无障碍地获得信息，进行交流。

Accessibility子键包含了十个子键，多数子键在“控制面板”窗口的“辅助功能选项”图标中都有对应的选项。这些子键的键值名中一般都

有一个"on"。当键值为0时，表示此设置无效；而当其键值为1时，则表示此设置生效。B.Control Panel\Appearance(外观)子键

该子键下的键值中列出了可供选择的各种颜色和图案。你可以在“控制面板”的“显示属性”对话框的“外观”选项下的“方案”下拉菜单

中看到这些颜色和图案的名称。在Appearance子键下还有一个Scheme(方案)子键，用于设置配色方案的，这些图案使用十六进制数值表示出

来。

C.Control Panel\Colors子键

该子键用于设置桌面上各种项目(如图标、菜单等)颜色，你可以在“控制面板”的“显示属性”对话框中的“外观”选项下的“颜色”框

内，看到这些项目所设置的颜色。如：Scrollbar=212 208 200-设置滚动条的颜色，其中部分设置可以在显示属性窗口内进行设置。其颜色

使用RGB格式来组合颜色值。

D.Control Panel\desktop子键

该子键的键值中列出了桌面和窗口中的各种部件，如窗口边界、标题、图标、菜单、滚动条、消息框的长度、宽度和字体等数据。这些数据

可以在“控制面板”的“显示属性”对话框中进行修改。

Desktop子键具有如下的设置数据：

DragFullWindows=0：确定在拖动窗口时是否显示全窗口形状。若为0，则不显示全窗口。若为1，则显示全窗口。

FontSmoothing=0：确定是否让字体平滑地显示。若为0，则字体不平滑显示。若为1，则字体平滑地显示。

Wallpaper=0：设置墙纸。

TileWallpaper=0：设置墙纸的显示方式。

ScreenSaveTimeOut=600：启动屏幕保护程序的等待时间为600毫秒。

UserPreferencemask=hex:ae,00,00,00：设置用户的显示性能掩码。此掩码使用十六进制数值表示。

WallpaperStyle=0：设置用于填充墙纸的周围剩余空间的Active Desktop样式。

ScreenSaveLowPowerActive=0：确定是否进入屏幕保护的低功耗状态。若为0，则不进入屏幕保护的低功耗状态。

ScreenSavePowerOffActive=0：确定在进入屏幕保护状态时，是否关闭监视器。若为0，则关闭监视器。

CursorBlinkRate=530：设置光标闪烁速率。cursor(指针) blink(闪烁、闪亮) rate(速度、速率)

MenuShowDelay=400：设置菜单显示的延迟时间。

ScreenSaveActive=0：确定是否启用屏幕保护程序。若为0，则禁用屏幕保护程序。

在Desktop子键下面还有一个WindowMetrics子键，该子键保存了如何显示窗口的信息，这些信息显示如下：(Metrics：衡量)

ScrollWidth=-255：设置滚动宽度。

ScrollHeight=-255：设置滚动高度。

IconSpacing=-1125：设置图标间距。 (Spacing单词原型是Space，有“间距”的意思)

IconVerticalSpacing=-1125：设置图标垂直间距。 (Vertical，垂直的)

IconFont=hex:09,00,00,00,00,00,00,00,90,01,00,00,……：设置图标字体。此字体使用十六进制表示出来。

CaptionFont=hex:09,00,00,00,00,00,00,00,90,01,00,00,00,……：设置标题字体。

MenuFont=hex:09,00,00,00,00,00,00,00,90,01,00,00,00,00,……：设置菜单字体。

SmCaptionFont=hex:09,00,00,00,00,00,00,00,bc,02,00,00……：设置调色板标题字体。

StatusFont=hex:09,00,00,00,00,00,00,00,90,01,00,00,00,86,00……：设置信息字体。

BorderWidth=0：设置边框宽度。

SmCaptionWidth=-255：设置调色板标题的宽度。

SmCaptionHeight=-255：设置调色板标题的高度。

MenuWidth=-270：设置菜单宽度。

MenuHeight=-285：设置菜单高度。

Shell Icon Size=32：图标尺寸为32*32。

E.Control Panel\Input Method子键

该子键的键值中记录了输入法切换热键的有关数据。这些数据你可以在“控制面板－输入法”对话框中的“热键”选项下进行修改。

Input Method子键下有如下配置数据：

Show Status=1：确定是否显示输入法状态。

Parallel Distance=hex:00,00,00,00：设置输入法状态图标与输入法图标之间的水平距离。（Parallel，平行）

Perpendicular Distance=hex:10,00,00,00：设置输入法状态图标与输入法图标之间的垂直距离。(Perpendicular,垂直)

Parallel Tolerance=hex:40,00,00,00：设置输入法状态图标与输入法图标之间的最大的水平距离。(Tolerance,公差、差距)

Perpendicular Tolerance＝hex:10 00 00 00：设置输入法状态图标与输入法图标之间的最大的垂直距离。

在Input Method子键下面还有一个Hot Keys子键，用于设置输入法的热键。根据系统中所安装的输入法的个数，在Hot Keys子键下面

将有多个用于设置热键的子键，但是其设置方法是类似的。例如“微软拼音输入法”的热键设置子键位于HKEY_USERS\.DEFAULT\Control

Panel\Input Method\Hot Keys\00000011分支上，其键值数据如下：

Key Modifiers=hex:04,c0,00,00：设置键盘修改符。(Modifiers的原型是Modify，有“修改”的意思)

Target IME=hex:00,00,00,00：设置目标IME。

Virtual Key=hex:20,00,00,00：设置虚拟键。

F.Control Panel\International子键

该子健的键值中记录了表示时间的“上午”和“下午”的数据。这些数据可以在“控制面板”中打开“区域设置”对话框中的“时间”选项

下进行修改。

G.Control Panel\Keyboard子键

该子键的键值中记录了击键时的重复延时和重复速率。这些数据可以在“控制面板”中打开“键盘”对话框中的“速度”选项下进行修改。

Keyboard子键下具有如下键值数据：

KeyboardSpeed=31：设置键盘的字符重复输入的速度。

KeyboardDelay=1：设置键盘的字符重复的延缓时间。

H:Control Panel\Mouse子键

该子键的键值中记录了鼠标的双击速度和指针的移动速度。这些数据可以在“控制面板”中打开“鼠标”对话框中的“按钮”和“移动”选

项下进行修改。

Mouse子键下面具有如下设置数据：

MouseThreshold1=6：设置鼠标双击速度。(Threshold，极限)

MouseThreshold2=10：设置鼠标指针轨迹移动速度。

MouseSpeed=1：设置鼠标速度。

I:Control Panel\PowerCfg子键

该子键用于设置电源管理的有关数据。这些数据可以在“控制面板”中打开“电源管理”对话框中的“电源方案”选项下进行修改。

Powercfg子键具有如下键值数据：CurrentPowerPolicy=0：设置电源方案为“家庭/办公室桌面”。电源方案的序号由PowerPolicies子键下

的子键内容确定。

PowerCfg子键下面还有如下两个子键：

GlobalPowerPolicy：该子键用于设置全局电源方案。该方案是由该子键下面的键值数据确定的：

policies=hex:01,00,00,00,06,00,00,00,03,00,00,00,00,……：设置全局电源方案数据。

PowerPolicies：该子键用于设置电源方案的序号以及方案数据，其下又包含若干子键，对应不同的电源方案。

(3)Keyborard Layout子键

该子健位于HKEY_USERS\.DEFAULT\keyboard layout分支上，用于设置键盘的布局，如键盘语言的加载顺序等。

该子键下面提供如下三个子键：

A.Preload子键：该子键位于HKEY_USERS\.DEFAULT\keyboardlayout\preload分支上，用于设置键盘语言的加载顺序。Preload子键下面的子

键个数与你在系统中所安装的键盘语言有关。(Preload，加载)

B.Substitutes子键：该子键位于HKEY_USERS\.DEFAULT\keyboardlayout\substitutes分支，用于设置可替换的键盘语言布局。在通常情况

下，此子键的设置是空的。(Substitutes，可替换的、可取代的)

C.Toggle子键：该子键位于HKEY_USERS\.DEFAULT\keyboardlayout\toggle分支上，用于选择键盘语言。(Toggle,切换)

(4)Software子键

Software子键对于不同的计算机其键值数据是不同的。此子键其实是HKEY_LOCAL_MACHINE\Software分支的一部分，因为这里只涉及

Microsoft公司开发的程序以及Netscape公司开发的Navagiator浏览器，而HKEY_LOCAL_MACHINE\Software分支则包括了其他应用程序(如

Adobe、Corel、Autodesk等)和Microsoft公司开发的应用程序及Netscape公司的Navagiator 浏览器的键值数据。由于Windows中文版内嵌了许

多Microsoft公司开发的应用程序(如Internet Explorer、Netmeeting、Frontpage Express 等)，因此，该子键在注册表中就显得十分重要。

通过修改该子键下的子键，就可以实现Windows的某些重要功能。

{提示：[Adobe：美国Adobe公司, 是著名的图形图像和排版软件的生产商]、[Corel：加拿大Corel软件公司, 出品的软件有CorelDraw等]

[Autodesk：美国电脑软件公司, 生产计算机辅助设计软件如AutoCAD, 3D Studio 等] }

[Software\Micorsoft子键]：该子键用于设置Micorosoft公司开发的应用程序的键值数据。

A1.Internet Explorer子键：该子键位于HKEY_USERS\.DEFAULT\Software\Micorosoft\Internet Explorer分支上，用于设置Internet

Explorer的键值数据。其中含有Main子键，可用于设置Internet Explorer的键值数据。

A2.Java Vm子键：用于设置Java虚拟机(VM)。

EnableJIT=hex:01,00,00,00：确定是否允许使用JIT(Jave Internet Toolbar)。如果为”01,00,00,00”,则允许使用JIT；

如果为“00,00,00,00”，则禁止使用JIT。

EnableLogging=hex：00,00,00,00：确定是否允许登录。如果为“01,00,00,00”，则允许使用登录；如果为“00,00,00,00”，则禁止使用

登录。

A3.Windows子键：该子键下面有如下子键结构：

HKEY_USERS\.DEFAULT\Software\Micorosft\Windows\CurrentVersion\Applets：用于设置Jave Applets(Java小程序);

HKEY_USERS\.DEFAULT\Software\Micorosft\Windows\Multimedia：用于设置多媒体驱动程序与应用程序。

A4.Active Setup子键：该子健具有如下子键结构：

HKEY_USERS\.DEFAULT\Software\Micorosft\Active Setup

HKEY_USERS\.DEFAULT\Software\Micorosft\Active Setup\Installed Comonents

该子键中存储了使用Active Setup程序安装组件的信息。Active Setup是Windows最新提供的活动桌面设置程序。

A5.SystemCertificates子键：该子键位于HKEY_USERS\.DEFAULT\Software\Micorosft\SystemCertificates分支上，用于存储系统验证信

息。

[Micorosft\Internet Account Manager子键]

在个人用户计算机上，该子键位于HKEY_CURRENT_USER\Software\Micorosft\Internet Account Manager分支上，而不存在HKEY_USERS对应的

位置；用于设置Internet账号管理器(Internet Account Manager)。

Server ID=dword:0000006b：设置服务器标识。

Account Name=dword:0000000c：设置账号名字。

Default LDAP Account=00000001：设置LDAP(目录服务器)的账号。

Default Mail Account=00000008L：设置缺省的电子邮件账号。

Default News Account=0000000b：设置缺省的新闻组服务器账号。

如果系统建立了至少一个调用子邮件账户，此子键下面会有一个00000001子键，下面是电子邮件服务器的有关参数。

Account Name=https://www.360docs.net/doc/20888235.html,：设置邮件服务器的账号名称。

Connection Type=dword:00000002：指定连接类型(此类型由”Internet连接向导”指定)。

POP3 Sever=https://www.360docs.net/doc/20888235.html,：设置POP3服务器地址。

POP3 User Name=User:指向POP3用户名称。

POP3 Password2=hex:01,01,07,00,00,00,15,7f,7f,77,00,00,63 ：指向POP3服务器的密码。

Pop3 Use Sicily=dword:00000000：确定是否使用“安全密码验证(SPA)”登录。若为0，则不使用“安全密码验证”登录。

SMTP Server=：设置SMTP服务器地址。此地址可为本地SMTP服务器地址。

SMTP Display Name=：SMTP显示名字。

SMTP Email Address=：指向SMTP电子邮件地址。

4.HKEY_LOCAL_MACHINE根键

HKEY_LOCAL_MACHINE根键中存放的是用来控制系统和软件的设置。由于这些设置是针对那些使用Windows系统的用户而设置的，所以它与具体

用于无关，它是一个公共配置信息，大家只须做一个了解就可以了。

HKEY_LOCAL_MACHINE包括了如下五个子键：

Hardware子键：该子键下面存放一些有关超文本终端、数字协处理器和串口等有关信息。Hardware子键下面包括两个子键Devicemap（用于存

放设备映象）、Description（存放有关系统信息描述）。Devicemap子键的层次结构如下：

HKEY_LOCAl_MACHINE\Hardware

HKEY_LOCAL_MACHINE\Hardware\devicemap

HKEY_LOCAL_MACHINE\Hardware\devicemap\serialcomm

在HKEY_LOCAL_MACHINE\Hardware\devicemap\serialcomm分支下面包括如下设置内容：

COM1=COM1：指定COM1端口。(com指的是串行通讯端口)

COM2=COM2：指向COM2端口。

DESCRIPTION子键的层次结构如下：

HKEY_LOCAL_MACHINE\Hardware\description

HKEY_LOCAL_MACHINE\Hardware\description\System

HKEY_LOCAL_MACHINE\Hardware\description\System\FloatingPointProcessor

HKEY_LOCAL_MACHINE\Hardware\Description\System\FloatingPointProcessor\0

Sam子键：系统自动将其保护起来。

Security子键：包含了安全设置的信息，同样也让系统保护起来。

Software子键：包含了系统软件、当前安装的应用软件及用户的有关信息。

System子键：该子健存放的是启动时所使用的信息和修复系统时所需要的信息，其中包括各个驱动程序的描述信息和配置信息等。System子

键下面只有一个CurrentControlset子键有着控制设置的功能。

(1)Control子键

这个子键保存的是由控制面板中各个图标程序设置的信息。由于控制面板中的各个图标程序可能会把信息写在不同的子键下，所以用户最好

不要通过注册表来修改这些信息。否则容易引起系统死机。

Control\Fontassoc子键：该子键存放的是有关字体设置信息(如缺省字体、替代字体以及字符集等)。在HKEY_LOCAL_MACHINE\System

\CurrentControlSet\Control\Fontassoc分支下还有Associated DefaultFonts、Associated CharSet两个子键。

在HKEY_LOCAL_MACHINE\Sysetm\CurrengControlSet\control\Fontassoc\Associated DefaultFonts分支下有如下设置信息：

AssocSystemFont=simsum.ttf：定义系统字体。Simsum.ttf为TruType宋体字库文件。

FontPackageDontCare=宋体：以下行设置了已安装的套装字体(FontPackage),在Windows 3.x 中，这些设置在Wifeman.ini文件的

[FontPackages]小节中列出。

FontPackageRoman=宋体

FontPackageSwiss=宋体

FontPackageModem=宋体

FontpackageScript=宋体

FontPackageDecorative=宋体

在HKEY_LOCAL_MACHINE\System\Current\Control Set\Control\Fontassoc\Associated CharSet分支下是关于一些系统字体的设置。

Control\Nls子键：该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Nls分支中，它是用来设置Windows的语言特性，如

代码页、EUDC内码范围、语言分类等。

Control\SessionManager子键：该子键用于管理系统的会话。

A.KnownDlls子键：该子键下包含了Windows中32位DLL文件以及标识。

B.AppPatches子键：该子健用于应用程序的补丁，使这些应用程序能够很好地运行在Windows 中。在Windows 3.x时代，这些补丁是放在

Win.ini文件中。

Control\MediaResources子键：该子键用于设置多媒体资源，分支下还包括DirectSound、Joystick等子键。

Control\MediaProperties子键：该子键用于设置多媒体的属性。

Control\FileSystem子键：该子键主要对Windows的NTFS以及Windows 3.1、Windows 9x 文件系统进行设置。

Control\Keyboard Layouts子键：该子键主要对Windows的键盘不及(Keyboard Layouts)或者键盘语言进行设置。该子键下面包

括多个关于键盘语言(也包括汉字输入法)的子键，这些子键使用数值表示出来。

Control\Update子键：该子键用于确定“控制面板“窗口是否被刷新，此子键的功能与”控制面板“窗口中的”查看“菜单中的”刷新“相

同。

Control\TimeZoneInformation子键：该子键用于设置时区信息。

Control\Print子键：该子键用于设置打印机。

Control\IDConfigDB子键：该子键用于显示硬件配置文件的配置数据、配置名称等其他信息。

Control\ComputerName子键：该子键下面具有如下分层结构：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\ComputerName\ActiveComputerN ame

HKEY_LOCAL_MACHINE\Sysetm\CurrentControlSet\Control\ComputerName\ComputerName

该层结构用于设置计算机名称。

SecurityProviders子键：该子键用于设置网络供应商的安全功能。

(2)Services子键

该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services分支上。该子键中存放了Windows中各项服务的信息，有些是自带的，

有些是随后安装的。在该子健下面的每个子键中存放相应服务的配置和描述信息。

Services\Class子键：该子键中保存的是Windows支持的不同种类硬件的信息，它下面的子键与“控制面板”中添加新硬件的分类类似。下面

简单介绍几种硬件分类子键。

1.1394子键

该子健位于HKEY_LOCAL_MACHINE\System\CurrentSet\Services\Class\1394，用于配置满足IEEE1394规范的”1394”总线控制器“。*@=1394

总线控制器：指定1394子键的描述名称。 [IEEE：电气和电子工程师协会]

Icon=-21：指定图标标识。

Link={6BDD1FC1-810F-11D0-BEC7-08002B E2092F：指定“1394总线控制器”的连接。该连接将在{6Bdd1FC1-810F-11D0-

BEC7-08002BE2092F子键中定义。

2.{6BDDFC1-810F-11D0-BEC7-08002BE2092F}子键

该子健位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Class\{6BDD1FC1-810F-11D09-BEC7-08002Be2092F}分支上，用于配

置”1394总线控制器“的连接。

Link=1394：指定连接为”1394”。

Class=1394：指定“1394总线控制器“类为”1394“。

3.Adapter子键

该子健位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Class\Adapter分分支上，用于配置“CD-ROM控制器”。

@＝CD-ROM控制器：指定该子键的描述名称。

Icon=-9：指定图标标识。

Link={4d36e964-e325-11ce-bfc1-08002be10318}：指定”CD-ROM控制器“的连接，由{44d36e964-e325-11ce-bfc1-08002be10318}子键进一

步定义。

4. {4d36e964-e325-11ce-bfc1-08002be10318}子键：

该子健位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Class\4d36e964-e325-11ce-bf c1-08002be10318分支上，用于配置

“CD-ROM控制器”的连接

Link=Adapter：指定连接为“Adapter”。 Class=Adapter：指定类为”Adapter”。

5.Printer子键

该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Service\Class\Printer分支上，用于配置“打印机”。@=打印机：指向该子健

的描述名称。

Installer=MSPRINT.DLL：指向“打印机”的安装程序为”Msprint.dll”。

Icon=-4；指定图标标识。

NoDisplayClass=1：确定是否显示类。若为1，则不显示类。若为0，则显示类。

Link={4d36e979-e325-11ce-bfc1-08002be10318}：指定“打印机”的连接。

6.MEDIA子键

该子健位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Class\MEDIA分支上，用于配置多媒体设备，包括声音卡、视频卡和

游戏控制器等。

@=声音、视频和游戏控制器：指定该子键的描述。

Link={4d36e96c-e325-11ce-bfc-08002be10318}：指定“多媒体”的连接。

Icon=0：指定图标标识。

Installer-mmci.dll：指定“多媒体”设备的安装程序为“MMCI.DLL”。

[Services\VxD子键]

该子健位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD分支上。该子键

保存了Windows中所有虚拟设备驱动程序的信息。

由于Windows系统能够自动管理这些信息，因此，在通常情况下最好不要通过注册表编辑器来修改这些信息；但了解此子键下的信息是有好

处的，因为有一些功能(如拨号网络连接)必须修改此子键下的信息。

[Services\RemoteAccess子键]

该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\RemotecdAccess分支上，存放的是和Windows拨号网络有关的信息。

[Services\WinSock2子键]

该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WinSock2分支上，用于存放与Internet连接时WinSock2.0版本的有关

信息。

[Services\wdmaud子键]

该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\wdmaud分支上，用于存放WDM Autio(WDM音频)信息。

ImagePath=System32\Drivers\Wdmaud.sys：WDM Audio驱动程序为Wdmaud.sys。

Start=hex:03,00,00,00：设置初始化值。

Type=hex:01,00,00,00：设置类型值。

ErrorControl=hex:01,00,00,00：设置错误控制代码。

5.HKEY_CURRENT_CONFIG根键

如果你在Windows中设置了两套或者两套以上的硬件配置文件(Hardware Configuration File)，则在系统启动时将会让用户选择使

用哪套配置文件。而HKEY_CURRENT_CONFIG根键中存放的正是当前配置文件的所有信息。

在Windows系统启动以后，任何对配置文件的修改都会同时影响到HKEY_LOCAL_MACHINE\Config分支、HKEY_LOCAL_MACHINE\Enum分支和

HKEY_CURRENT_CONFIG中的相应内容。

注册表更改实例：

1.随机启动程序在注册表中的关键位置：

(1)[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]

(2)[HKEY_CURRENT_USER\Software\Microsoft\Windows

\CurrentVersion\Runonce]

(3)[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

(4)[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce]

(5)[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunonEx]

(6)[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]下的shell键值正常的应为"Explorer.exe"

2.系统注册表中映象劫持列表所在位置：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]