电子物证技术基础课件Windows注册表
1.注册表的逻辑结构
③系统定义和使用的数据类型
数据类型 REG_BINARY REG_DWORD REG_EXPAND_SZ
说明 二进制数据。多数硬件组件信息都以二进制数据存储，而以十六进制格式 显示在注册表编辑器中。
双字。它占用4字节的长度。设备驱动程序和服务的很多参数都是采用这 种类型。
长度可变的字符串，如包含变量（例如%system%）的字符串。
包含系统启动时使用的硬件配置文件的相关信息。该信 息用于配置一些设置，例如要加载的设备驱动程序、显 示的分辨率。此处显示的数据是来自于 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware
Profiles\Current分支。
第四章Windows操作系统的注册表 4.2 注册表的结构
ShellNoRoam表键
点击BagMRU表键下“1”子键前的“+”标志，即弹 出如下图所示的画面信息。由于该子键对应“我的电脑” 文件夹，因此会以树状结构展示磁盘中被访问的文件夹 信息。该子键下名称为“1”的键值即对应C盘，而名称 为“1”的子键则对应C盘下的具体文件夹。
ShellNoRoam表键
第四章Windows操作系统的注册表
练习
1.禁止修改桌面属性
在注册表编辑器中，打开 HKEY_CURRENT_USER\Software\Microsoft\Windo ws \CurrentVersion\Policies\System（若System子 项不存在，则创建该子项），新建一个DWORD值项： NoDispCPL，并将其数据设置为1，如图 所示。
注册表的演示程序
第四章Windows操作系统的注册表
4.1Config.sys
二、 Windows 3.x:System.ini、Win.ini、 Control.ini、Program.ini和Winfile.ini
三、Windows 9x、2000、XP、7 HKEY_DYN_DATA、 HKEY_LOCAL_MACHINE、 HKEY_CLASSES_ROOT、 HKEY_CURRENT_CONFIG、 HKEY_USERS、HKEY_CURRENT_USER
ShellNoRoam表键
偏移0x0E处的“abcdef”即为该文件夹的名称信息 （GB2312编码）；头部偏移0x08处的“EB 42 90 06”表示文件 的访问时间，0x1E处的“EB 42 90 06”表示修改时间，0x22处 的“EB 42 90 06”表示创建时间；偏移0x2A处的信息则为该文 件名称的Unicode编码。
USB设备使用痕迹
从上两图可以看出，USB表键和USBSTOR表键并未包 含挂载的时间信息，实际上此处的时间信息以属性形式进 行存储。选择以序列号为名称的子键，单击右键选择“导 出”，并将“保存类型”选为“文本文件”，打开保存后 的文本文件即可获得时间信息。
USB设备使用痕迹
USBSTOR表键下有一名为ParentIdPrefix 键值，该键值数据通过关联MountedDevices 表键可以指示出USB设备的盘符信息。
Regedit.exe的操作演示
第四章Windows操作系统的注册表
与搜索项目相关的表键
HKCU\Software\Microsoft\Search Assistant\ACMru表键包含有使用Windows内 置的搜索功能进行过的搜索项目。
第四章Windows操作系统的注册表
与可执行程序相关的表键
USB设备使用痕迹
Windows 7系统分区下的\Windows\inf\Setupapi.dev.log文 件（Windows XP环境下则为\Windows \setupapi.log）包含有 关设备更换、驱动程序更改和重要系统修改等数据。
USB设备使用痕迹
Windows 7事件日志增加了对USB设备的审核。与USB设 备相关的事件ID还有20001、20003、24576、24577等。
HKCU\Software\Microsoft\Windows\CurrentVersio n\Explorer\UserAssist下的75048700-EF1F-11D09888-006097DEACF9指向活动桌面 （%SystemRoot%\system32\SHELL32.dll）。活 动桌面则记录详细的用户活动，包括可执行文件操 作信息。
查看桌面右键快捷菜单“属性”验证，桌面属性设置已 被禁用。如图 所示。
第四章Windows操作系统的注册表
2.设定随系统启动时运行的程序
在注册表编辑器中，打开 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \Windows\CurrentVersion\Run，新建一字符串值项， 并将其数据设置可执行文件的路径和文件名。（例如， 新建一字符串NotepadProgram，其数据设置 C:\Windows\system32\notepad.exe），如图所示注 销即可验证：重新登录时自动打开记事本。
注册表配置单元是指作为文件出现在硬盘上 的注册表的一部分。注册表被划分成配置单元。 配置单元是根键、子键和键值的离散体，它位 于注册表的顶部。
注册表配置单元 HKEY_LOCAL_MACHINE\SAM HKEY_LOCAL_MACHINE\SECURITY HKEY_LOCAL_MACHINE\SYSTEM HKEY_CURRENT_CONFIG HKEY_CURRENT_USER HKEY_USERS\.DEFAULT HKEY_LOCAL_MACHINE\SOFTWARE
USB设备使用痕迹
Windows 7注册表中则不再含有ParentIdPrefix 键值，而是通过设备序列号与MountedDevices表 键关联，以确定盘符。
USB设备使用痕迹
Windows 7中最新设置的UMB表键为追踪USB设备提供 了更大的便利。该表项涵盖了USB和USBSTOR表键的重要 信息，同时指示出USB设备被分配的盘符。
REG_MULTI_SZ
多重字符串，包含列表或多值的值通常都是这种类型。
REG_SZ
固定长度的字符串。
REG_FULL_RESOURCE_D ESCRIPTOR
专用于存储硬件或驱动程序所占用的资源列表。不能修改此处的数据。
第四章Windows操作系统的注册表
4.2 注册表的结构 2.注册表的物理结构
regedt32.exe、regedit.exe区别？
第四章Windows操作系统的注册表
第四章Windows操作系统的注册表
4.2 注册表的结构
1.注册表的逻辑结构
①注册表是按照根键（HKEY）、子键以及键 值项的层次结构来组织的，每个键值项有三方 面属性：名称、数据类型及值，如图所示。
第四章Windows操作系统的注册表
当点击“树叶”子键（对应文件夹下已无子文件夹 或子文件夹未被访问）时，其MRUListEx键值的数据内 容会只有“ff ff ff ff”（其他情况则以“ff ff ff ff”作为结束 标志）。另外，从下图的NodeSlot值还可以得出，“4” 子键对应的文件夹“abcdef”在Bags表键下对应的子键 名称为“36”（0x00000024）。
HKEY_USERS
HKEY_CURRENT_CONFIG
包含用于各种 OLE 技术和文件类关联数据的信息。
包含当前登录用户的配置信息，例如，包含环境变量、 桌面设置、控制面板设置等。 此处显示的数据来自于 HKEY_USERS\当前用户的安全ID。
包含计算机上所有用户的配置文件。HKEY_CURRENT_USER 是HKEY_USERS的子项。
第四章Windows操作系统的注册表
与可执行程序相关的表键
键入表键后，删除子键，重新启动后信 息明文显示 （对于部分XP版本试用）。
USB设备使用痕迹
此类工具信息来源完全依赖于注册表，在相关注册表 项被删除（如UsbViewer即自带“清除痕迹”功能）的情 况下便不具实战意义。另外，实践发现基于智能工具分析 出的痕迹信息存在不全面与不准确之处。
对应的物理文件 Sam和Sam.log Security 和Security.log System 和System.log System 和System.log Ntuser.dat和Ntuser.dat.log Default和Default.log Software和Software.log
第四章Windows操作系统的注册表
4.2 注册表的结构
1.注册表的逻辑结构
②根键：类似于一个磁盘内的根文件夹，注 册表有五大根键。
根键名称 HKEY_LOCAL_MACHINE
描述
存储着本地计算机的配置数据，如硬件设备设置、应用 程序设置、安全数据库、系统设置等数据。
HKEY_CLASSES_ROOT HKEY_CURRENT_USER
4.3 注册表基本操作
1.启动 2.修改注册表键值 3.新建注册表的子键和键值项 4.删除子键和键值项 5.查找子键、键值项和键值 6.导入和导出注册表文件 7.设置注册表权限
注册表的操作演示
第四章Windows操作系统的注册表
4.4 控制台注册表的编辑
控制台的注册表编辑工具“regedit.exe” 。主要功能包括注册表项的查询、添加、删 除、复制、保存、还原、加载、卸载、导入 、导出以及注册表项目的比较和远程操作等 11项，因此regedit.exe功能非常强大 该命 令使用灵活，
第四章Windows操作系统的注册表
4.1 注册表的发展
目录 结构
4.2 注册表的结构 4.3 注册表的基本操作
4.4 控制台注册表的编辑
练习题
第四章Windows操作系统的注册表
什么是注册表？
合集下载
win2000注册表PPT课件
注册表是windows操作系统中的一个核心数据 库，其中存放着各种参数，直接控制着 windows的启动、硬件驱动程序的装载以及一 些windows应用程序的运行，从而在整个系统 中起着核心作用。
2020/10/13
5
（五）注册表文件
System.dat包含了计算机特定的配置数据 User.dat包含了用户特定的数据。
索功能也比较强大；而Regedt32.exe支持的键值数据类型
更多，功能也更完善。
当windows操作系统升级到Windows XP的时候，这
两个程序仍然存在，但实际上它们已经结合各自的长处合
二为一了。这个新的注册表编辑器结合了Regedit.exe浏
览器的显示界面、强大的搜索功能和Regedt32.exe提供的
注册表的核心，HKEY_LOCAL_MACHINE对应着
System.dat文件，HKEY对应着User.dat文件， 另外的
四个根键都是它们的派生。
2020/10/13
9
2、注册表根键详解
HKEY_CLASSEL_BOOT
包含文件扩展名信息，文件/应用程 序的联合以用于支持拖放，OLE输入和 关于Windows快捷方式的信息。
注册表记录了用户安装在机器上的软件 和每个程序的相互关联关系；记录了计算机的 硬件配置，包括自动配置的即插即用的设备和 已有的各种设备。
2020/10/13
3
（三） 注册表中有什么
注册表中存放着各种参数，直接控制着Windows 的 启动、硬件驱动程序的装载以及一些 Windows 应用 程序的运行，从而在整个系统中起着核心作用。它包 括:
注册表权限控制两方面的优势。
2020/10/13
7
2020/10/13
5
（五）注册表文件
System.dat包含了计算机特定的配置数据 User.dat包含了用户特定的数据。
索功能也比较强大；而Regedt32.exe支持的键值数据类型
更多，功能也更完善。
当windows操作系统升级到Windows XP的时候，这
两个程序仍然存在，但实际上它们已经结合各自的长处合
二为一了。这个新的注册表编辑器结合了Regedit.exe浏
览器的显示界面、强大的搜索功能和Regedt32.exe提供的
注册表的核心，HKEY_LOCAL_MACHINE对应着
System.dat文件，HKEY对应着User.dat文件， 另外的
四个根键都是它们的派生。
2020/10/13
9
2、注册表根键详解
HKEY_CLASSEL_BOOT
包含文件扩展名信息，文件/应用程 序的联合以用于支持拖放，OLE输入和 关于Windows快捷方式的信息。
注册表记录了用户安装在机器上的软件 和每个程序的相互关联关系；记录了计算机的 硬件配置，包括自动配置的即插即用的设备和 已有的各种设备。
2020/10/13
3
（三） 注册表中有什么
注册表中存放着各种参数，直接控制着Windows 的 启动、硬件驱动程序的装载以及一些 Windows 应用 程序的运行，从而在整个系统中起着核心作用。它包 括:
注册表权限控制两方面的优势。
2020/10/13
7
《注册表学习教程》PPT课件
注
选定一个主键或次级主键时，状态栏中显示
册
出所选主键所处的路径。
表
HKEY_CLASSES_ROOT
HKEY_CURRENT_USER
HKEY_LOCAL_MACHINE
HKEY_USER
HKEY_CURRENT_CONFIG
HKEY_DYN_DATA
计 算 机 高 手
3、注册表组成 在Windows中，注册表由两个文件组成： System.dat和User.dat，保存在Windows所在 的文件夹中。它们是由二进制数据组成，因 而无法用文本编辑器加以查看和修改。前者
该子键位于HKEY_CLASSES_ROOT\avifile\Compressors\vids分支上，用 于设置视频数据压缩程序的类标识。
计 算 机 高 手
◎ HKEY_CLASSES_ROOT
protocol 子键 该子键位于HKEY_CLASSES_ROOT\avifile\protocol分支上，该分支
——
HKEY_LOCAL_MACHINE\Config结构中的某个分支的
注 册 表
指针。 (6)HKEY－DYN－DATA:定义了系统运行中的动
态数据，即已发生的事件的有关信息。它不仅包含
系统硬件的当前状态，也包含了那些需要更新和检
索的数据。系统每次启动时都要创建此关键字。
每个根键再由若干主键组成，键名代表一特定的注 册项目，键值可分为字符串值、二进制值和DWORD值， 都能用注册表编辑器进行修改 。
支下面的两个子键auds和vids分别给出了音频和视频数据压缩程序的 类标识，通过这些类标识可以找到相应的处理程序，如图。
——
注 册 表
1) auds 子键 该子键位于HKEY_CLASSES_ROOT\avifile\Compressors\auds分支上，
《注册表基础讲解》课件
注册表基础讲解
目 录
• 注册表简介 • 注册表的结构 • 注册表的编辑 • 注册表的安全管理 • 注册表的常见问题与解决方案 • 注册表的进阶应用
01
注册表简介
注册表的定义
注册表：Windows操作系统中的一个 核心组件，用于存储操作系统、应用 程序和硬件设备的配置信息。
注册表通过键值对的形式存储数据， 其中键是唯一的标识符，值可以是各 种数据类型，如字符串、二进制数据 或文件路径。
清理无效的键值
识别无效的键值
无效的键值可能导致系统运行缓慢或出现错误。可以使用系统自带的工具或第三方软件 来识别和清理无效的键值。
清理过程
清理无效的键值时，应谨慎操作，避免误删除重要的键值。建议先进行备份，以便在必 要时恢复。
设置权限和安全策略
权限管理
通过设置权限，可以限制对注册表的访问， 防止未经授权的修改。可以根据需要为不同 用户或用户组设置不同的权限级别。
注册表的进阶应用
使用注册表优化系统性能
加快系统启动速度
通过修改注册表键值，禁用不必要的启动项 和服务，减少系统启动时的负担，从而加快 启动速度。
提高应用程序运行效率
通过优化注册表设置，可以改善应用程序的 响应速度和运行效率，提高用户体验。
使用注册表定制个性化设置
定制桌面主题
通过修改注册表键值，可以定制桌面主题、图标、鼠 标指针等外观设置，打造个性化的桌面环境。
导入注册表
将已保存的注册表文件导入到系统中，以恢复或修改相关的 设置和数据。
导出注册表
将当前系统中的注册表数据导出为文件，以便备份或共享。
创建和删除键值
创建键值
在注册表中新建一个键，用于存储特定的设置或数据。
目 录
• 注册表简介 • 注册表的结构 • 注册表的编辑 • 注册表的安全管理 • 注册表的常见问题与解决方案 • 注册表的进阶应用
01
注册表简介
注册表的定义
注册表：Windows操作系统中的一个 核心组件，用于存储操作系统、应用 程序和硬件设备的配置信息。
注册表通过键值对的形式存储数据， 其中键是唯一的标识符，值可以是各 种数据类型，如字符串、二进制数据 或文件路径。
清理无效的键值
识别无效的键值
无效的键值可能导致系统运行缓慢或出现错误。可以使用系统自带的工具或第三方软件 来识别和清理无效的键值。
清理过程
清理无效的键值时，应谨慎操作，避免误删除重要的键值。建议先进行备份，以便在必 要时恢复。
设置权限和安全策略
权限管理
通过设置权限，可以限制对注册表的访问， 防止未经授权的修改。可以根据需要为不同 用户或用户组设置不同的权限级别。
注册表的进阶应用
使用注册表优化系统性能
加快系统启动速度
通过修改注册表键值，禁用不必要的启动项 和服务，减少系统启动时的负担，从而加快 启动速度。
提高应用程序运行效率
通过优化注册表设置，可以改善应用程序的 响应速度和运行效率，提高用户体验。
使用注册表定制个性化设置
定制桌面主题
通过修改注册表键值，可以定制桌面主题、图标、鼠 标指针等外观设置，打造个性化的桌面环境。
导入注册表
将已保存的注册表文件导入到系统中，以恢复或修改相关的 设置和数据。
导出注册表
将当前系统中的注册表数据导出为文件，以便备份或共享。
创建和删除键值
创建键值
在注册表中新建一个键，用于存储特定的设置或数据。
《计算机注册表详解》课件
所有用户配置信息
HKEY_CURRENT_US ER
当前用户配置信息
HKEY_LOCAL_MACH INE
计算机硬件和软件信息
HKEY_CURRENT_CONFIG
当前硬件配置信息
注册表操作
1
注册表编辑器
regedit.exe regedt32.exe
2
命令行操作
reg.exe regedit.exe /s regedit.exe /e
《计算机注册表详解》PPT课件
# 计算机注册表详解 ## 什么是注册表 - 注册表是Windows操作系统中的一个重要组成部分 - 储存了操作系统、硬件及软件的诸多配置信息 - 分层结构，以键值对形式组织
注册表结构
HKEY_CLASSES_RO OT
定义文件类型关联、COM组 件信息等
HKEY_USERS
删除常见病毒注册表项 检测恶意注册表项的添加
总结
1 注册表是Windows操作系统中的重要 2 具有分层结构且以键值对形式组织
组成部分
提供便捷的信息访问和修改方法
储存操作系统、硬件及软件的配置信息
3 支持多方式操作及备份与恢复
提供灵活且安全的管理选项
4 需定期维护及保护其安全性
确保系统稳定性和数据完整性
注册表备份与恢复
1
备份
执行导出命令 选择备份位置
2
恢复
执行导入命令 选择备份文件路径
注册表维护
清理无用及错误配置信息
优化操作系统性能
协助软件卸载操作
彻底清除所有相关的注册表项
优化关联文件类型
提供更快速、准确的文件打开方式
最小化启动项
加快系统启动速度
注册表安全
HKEY_CURRENT_US ER
当前用户配置信息
HKEY_LOCAL_MACH INE
计算机硬件和软件信息
HKEY_CURRENT_CONFIG
当前硬件配置信息
注册表操作
1
注册表编辑器
regedit.exe regedt32.exe
2
命令行操作
reg.exe regedit.exe /s regedit.exe /e
《计算机注册表详解》PPT课件
# 计算机注册表详解 ## 什么是注册表 - 注册表是Windows操作系统中的一个重要组成部分 - 储存了操作系统、硬件及软件的诸多配置信息 - 分层结构，以键值对形式组织
注册表结构
HKEY_CLASSES_RO OT
定义文件类型关联、COM组 件信息等
HKEY_USERS
删除常见病毒注册表项 检测恶意注册表项的添加
总结
1 注册表是Windows操作系统中的重要 2 具有分层结构且以键值对形式组织
组成部分
提供便捷的信息访问和修改方法
储存操作系统、硬件及软件的配置信息
3 支持多方式操作及备份与恢复
提供灵活且安全的管理选项
4 需定期维护及保护其安全性
确保系统稳定性和数据完整性
注册表备份与恢复
1
备份
执行导出命令 选择备份位置
2
恢复
执行导入命令 选择备份文件路径
注册表维护
清理无用及错误配置信息
优化操作系统性能
协助软件卸载操作
彻底清除所有相关的注册表项
优化关联文件类型
提供更快速、准确的文件打开方式
最小化启动项
加快系统启动速度
注册表安全
计算机注册表详解课件
计算机注册表详解
图5-2 打开注册表编辑器
（1）HKEY_CLASSES_ROOT主关键字。
图5-3 HKEY_CLASSES_ROOT 作用:根据Windows系统所安装的应用程序的扩展名, 指明电脑中文件的关联类型.(如将Doc文件自动和 word关联起来).
（2）HKEY_USERS主关键字。
（1）直接进行备份及恢复。 （2）利用注册表编辑器的导出及引入功能（如图
5-9所示）。
计算机注册表详解
图5-9 利用注册表编辑器导出及导入注册表
5.2.3.3 使用注册表维护工具软件
1．RegCleaner（运行界面如图5-11所示） 2．超级兔子注册表优化工具（如图5-12所示） 3．Windows优化大师（如图5-13所示）
图5-6 HKEY_LOCAL_MACHINE主关键字 作用:存放的硬件数据,用来存放系统和软件之间的设置.
（5）HKEY_CURRENT_CONFIG主关键字。
图5-7 HKEY_CURRENT_CONFIG主关键字 作用:存放的当前配置文件的所有信息.
5.2.2 注册表解析与应用
5.2.2.1 注册表的数据结构 5.2.2.2 修改注册表应用举例
5.2.1 注册表基本知识
1．注册表的由来 注册表是Windows内部一个巨大的树状分层的
数据库，其中容纳了应用程序和计算机系统的全 部配置信息，包括操作系统和应用程序的初始化 信息、应用程序和文档的关联关系、硬件设备的 说明、状态和属性以及各种状态信息和数据，如 图5-1所示。
计算机注册表详解
图5-1 Windows 注册表编辑器界面
计算机注册表详解
3．注册表的基本结构 在Windows系统中，注册表采用“关键字”和
图5-2 打开注册表编辑器
（1）HKEY_CLASSES_ROOT主关键字。
图5-3 HKEY_CLASSES_ROOT 作用:根据Windows系统所安装的应用程序的扩展名, 指明电脑中文件的关联类型.(如将Doc文件自动和 word关联起来).
（2）HKEY_USERS主关键字。
（1）直接进行备份及恢复。 （2）利用注册表编辑器的导出及引入功能（如图
5-9所示）。
计算机注册表详解
图5-9 利用注册表编辑器导出及导入注册表
5.2.3.3 使用注册表维护工具软件
1．RegCleaner（运行界面如图5-11所示） 2．超级兔子注册表优化工具（如图5-12所示） 3．Windows优化大师（如图5-13所示）
图5-6 HKEY_LOCAL_MACHINE主关键字 作用:存放的硬件数据,用来存放系统和软件之间的设置.
（5）HKEY_CURRENT_CONFIG主关键字。
图5-7 HKEY_CURRENT_CONFIG主关键字 作用:存放的当前配置文件的所有信息.
5.2.2 注册表解析与应用
5.2.2.1 注册表的数据结构 5.2.2.2 修改注册表应用举例
5.2.1 注册表基本知识
1．注册表的由来 注册表是Windows内部一个巨大的树状分层的
数据库，其中容纳了应用程序和计算机系统的全 部配置信息，包括操作系统和应用程序的初始化 信息、应用程序和文档的关联关系、硬件设备的 说明、状态和属性以及各种状态信息和数据，如 图5-1所示。
计算机注册表详解
图5-1 Windows 注册表编辑器界面
计算机注册表详解
3．注册表的基本结构 在Windows系统中，注册表采用“关键字”和
注册表.ppt+注册表基本知识PPT课件
HKEY_CURRENT_USER\Software\Policies\Micro soft\Windows\System中，新建双字节值 DisableCMD，其值为2。如果要允许运行批处理器， 其值为1。
2020/10/13
4
3、限制用户运行程序
• （3）禁止运行指定的程序 如禁止运行notepad.exe （但还能在CMD里运行）
2020/10/13
6
3、限制用户运行程序
• （5）禁止使用注册表编辑器 regedit.exe regedit32.exe 防止他人 修改注册表。
在HKEY_CURRENT_USER\Software\ Microsoft \Windows\CurrentVersion\Policies\System\下新 建双字节值项DisableRegistryTools，其值为1。
2020/10/13
2
2、保护个人信息
• 消除本机访问信息、操作信息
Windows为了方便使用者，总是将使用者最近访问过的文 档、运行过的程序等信息保存下来。 HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Explorer\RunMRU
（ii）新建注册表项HKEY_CURRENT_USER\ Software\
Microsoft\Windows\CurrentVersion\ Policies\ Explorer\RestrictRun，在其下新建字符串值项。值项名为 1，值为notepad.exe。
（将无法运行注册表编辑器，改名解决）
（i）HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Policies\Explorer中新建双字节 值项DisallowRun，其值为1，以允许我们定义禁止允许的 程序。
2020/10/13
4
3、限制用户运行程序
• （3）禁止运行指定的程序 如禁止运行notepad.exe （但还能在CMD里运行）
2020/10/13
6
3、限制用户运行程序
• （5）禁止使用注册表编辑器 regedit.exe regedit32.exe 防止他人 修改注册表。
在HKEY_CURRENT_USER\Software\ Microsoft \Windows\CurrentVersion\Policies\System\下新 建双字节值项DisableRegistryTools，其值为1。
2020/10/13
2
2、保护个人信息
• 消除本机访问信息、操作信息
Windows为了方便使用者，总是将使用者最近访问过的文 档、运行过的程序等信息保存下来。 HKEY_CURRENT_USER\Software\Microsoft\Windows\ CurrentVersion\Explorer\RunMRU
（ii）新建注册表项HKEY_CURRENT_USER\ Software\
Microsoft\Windows\CurrentVersion\ Policies\ Explorer\RestrictRun，在其下新建字符串值项。值项名为 1，值为notepad.exe。
（将无法运行注册表编辑器，改名解决）
（i）HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Policies\Explorer中新建双字节 值项DisallowRun，其值为1，以允许我们定义禁止允许的 程序。
WindowsXP注册表及其维护精品PPT课件
12
2020/10/16
键值项
键值项类似于文件夹的文 件，主键和子键可以包含一 个或多个键值项。键值项由 键值名、键值类型、键值三
部分组成.
上图为WIN98的键值项 下图为WIN2000键值项
13
2020/10/16
键值项数据类型
“键值项数据”可分为如下 三种类型（在右窗格内右 击鼠标，则在弹出的快捷 菜单中将可以看到这三种 类型。
该主关键字包含的主要内容是计 算机的当前配置情况.
10
2020/10/16
根键
6). HKEY_DYN_DATA 该根键包含了系统运行中的 动态数据，即已发生的事件 的有关信息，因此，这个主 关键字的内容不仅包含系统 硬件的当前状态，也包含了 那些需要更新和检索的数据。 这些数据都是动态变化的， 它们总是最新的信息。中文 Windows 98每次启动时都将 重新建立这个主关键字。
WINDOWS注册表及其维护
“注册表”实际上是一个庞大的树状分层数据库，它是 WIN9X开始引入的概念，注册表中存放着各种信息，如计算 机的全部硬件配置、软件配置、当前配置和用户特定设置等， 因而它直接控制着WINDOWS启动、硬件驱动程序的装载以及 一些WINDOWS应用程序的运行，在整个系统中起着核心作用。
2020/10/16
2
1注册表的组成
1.Windows9X 注册表数据库 注册表编辑器 注册表数据库包括两个文件：SYSTEM.DAT和USER.DAT
注册表编辑器(Regedit.exe)是一个用来编辑注册表的程序
2．Windows2000/XP
WINDOWS 2000/XP的注册表分为两个部分，多个文件. 用户配置文件:包括两个隐藏文件Ntuser.dat和Ntuser.ini以及日 志文件Ntuser.pol。 系统配置文件:包括Default、Software 、System、 Appevent.evt、SecEvent.Evt及SysEvent.Evt等多个隐藏文件 及相应的.LOG 文件和.SAV文件。
2020/10/16
键值项
键值项类似于文件夹的文 件，主键和子键可以包含一 个或多个键值项。键值项由 键值名、键值类型、键值三
部分组成.
上图为WIN98的键值项 下图为WIN2000键值项
13
2020/10/16
键值项数据类型
“键值项数据”可分为如下 三种类型（在右窗格内右 击鼠标，则在弹出的快捷 菜单中将可以看到这三种 类型。
该主关键字包含的主要内容是计 算机的当前配置情况.
10
2020/10/16
根键
6). HKEY_DYN_DATA 该根键包含了系统运行中的 动态数据，即已发生的事件 的有关信息，因此，这个主 关键字的内容不仅包含系统 硬件的当前状态，也包含了 那些需要更新和检索的数据。 这些数据都是动态变化的， 它们总是最新的信息。中文 Windows 98每次启动时都将 重新建立这个主关键字。
WINDOWS注册表及其维护
“注册表”实际上是一个庞大的树状分层数据库，它是 WIN9X开始引入的概念，注册表中存放着各种信息，如计算 机的全部硬件配置、软件配置、当前配置和用户特定设置等， 因而它直接控制着WINDOWS启动、硬件驱动程序的装载以及 一些WINDOWS应用程序的运行，在整个系统中起着核心作用。
2020/10/16
2
1注册表的组成
1.Windows9X 注册表数据库 注册表编辑器 注册表数据库包括两个文件：SYSTEM.DAT和USER.DAT
注册表编辑器(Regedit.exe)是一个用来编辑注册表的程序
2．Windows2000/XP
WINDOWS 2000/XP的注册表分为两个部分，多个文件. 用户配置文件:包括两个隐藏文件Ntuser.dat和Ntuser.ini以及日 志文件Ntuser.pol。 系统配置文件:包括Default、Software 、System、 Appevent.evt、SecEvent.Evt及SysEvent.Evt等多个隐藏文件 及相应的.LOG 文件和.SAV文件。
《注册表学习教程》课件
《注册表学习教程》PPT 课件
本教程将全面介绍注册表的基本知识，包括注册表的作用、结构、关键字、 值等。同时还会讲解如何操作注册表、备份和恢复，以及优化系统利用注册 表等实用技巧。
注册表简介
注册表是Windows操作系统中的一个重要组成部分，存储了系统和应用程序的配置信息，是系统运行和应用程 序正常工作所必需的。
使用第三方工具
使用第三方工具如CCleaner来管理注册表。Biblioteka 注册表的结构树状结构
注册表以树状结构存储，包含多个路径和子项。
蜂窝结构
注册表以蜂窝结构存储，包含多个蜂窝和键值。
注册表的主要分支
H K EY_C LA SSES_R OOT
存储文件关联和COM组件信息。
H K EY_C UR R EN T_U SER
存储当前用户的个人设置。
H K EY_LO C A L_M A CH IN E
存储计算机的系统设置。
注册表的关键字
1
DWORD
存储32位整数值。
STRIN G
2
存储文本字符串值。
3
BIN ARY
存储二进制数据值。
注册表的子项
子项的层次结构
每个子项可以有多个子项，形成层次结构。
子项的键值
每个子项可以有多个键值，用于存储具体的配置信 息。
注册表的作用
1 系统设置
存储了系统级别的配置信息，如硬件设置、外观设置等。
2 应用程序配置
存储了各种应用程序的配置信息，如浏览器、邮件客户端等。
3 用户设置
存储了用户级别的配置信息，如桌面背景、文件关联等。
进入注册表的方法
使用注册表编辑器
打开注册表编辑器并导航到特定的注册表路径。
本教程将全面介绍注册表的基本知识，包括注册表的作用、结构、关键字、 值等。同时还会讲解如何操作注册表、备份和恢复，以及优化系统利用注册 表等实用技巧。
注册表简介
注册表是Windows操作系统中的一个重要组成部分，存储了系统和应用程序的配置信息，是系统运行和应用程 序正常工作所必需的。
使用第三方工具
使用第三方工具如CCleaner来管理注册表。Biblioteka 注册表的结构树状结构
注册表以树状结构存储，包含多个路径和子项。
蜂窝结构
注册表以蜂窝结构存储，包含多个蜂窝和键值。
注册表的主要分支
H K EY_C LA SSES_R OOT
存储文件关联和COM组件信息。
H K EY_C UR R EN T_U SER
存储当前用户的个人设置。
H K EY_LO C A L_M A CH IN E
存储计算机的系统设置。
注册表的关键字
1
DWORD
存储32位整数值。
STRIN G
2
存储文本字符串值。
3
BIN ARY
存储二进制数据值。
注册表的子项
子项的层次结构
每个子项可以有多个子项，形成层次结构。
子项的键值
每个子项可以有多个键值，用于存储具体的配置信 息。
注册表的作用
1 系统设置
存储了系统级别的配置信息，如硬件设置、外观设置等。
2 应用程序配置
存储了各种应用程序的配置信息，如浏览器、邮件客户端等。
3 用户设置
存储了用户级别的配置信息，如桌面背景、文件关联等。
进入注册表的方法
使用注册表编辑器
打开注册表编辑器并导航到特定的注册表路径。
深入Windows操作系统-注册表基础与应用PPT课件
新工具： Shmnview.exe Shexview.exe
14
注册表案例
键盘无驱动问题
【故障现象】
键盘无法使用，设备管理器显示：代码 19：由于其配置信息（注册表中的）不完整或已损坏， Windows 无法启动这个硬件设备删除这个设备，在扫描硬件更新，找到后依然是这个错误提示。
【解决方案】
1、定位注册表项，HKLM\SYSTEM
扩展阅读：Winxp系统下，光驱盘符丢失， 设备管理器里光驱有黄色叹号
4、再次卸载键盘设备，重启电脑，系统提示
发现并成功安装了ps/2键盘驱动，安装成功。
类标识符CLSID
定义
CLSID是指windows系统对于不同的应用程序，文件类型，OLE对象，特殊 文件夹以及各种系统组件分配一个唯一表示它的ID代码，用于对其身份的 标示和与其他对象进行区分。
注册表位置
HKEY_CLASSES_ROOT\CLSID\
CLSID是一个128位的随机数 算法
1. 一部分数字来自于系统网卡的序列号，由于每一个网卡的MAC地址都不 一样，因此产生的ID也就会有差异。
2. 另外一部分数字来自于系统的当前时间和状态。
类标识符CLSID
常用系统组件的CLSID
系统内置图标的clsid定义了打开的内容，显示的图标，右键菜单属性等 可以被改动 常见系统组件的clsid
我的文档：450D8FBA-AD25-11D0-98A8-0800361B1103 我的电脑：20D04FE0-3AEA-1069-A2D8-08002B30309D 网上邻居：208D2C60-3AEA-1069-A2D7-08002B30309D 回收站：645FF040-5081-101B-9F08-00AA002F954E I E：871C5380-42A0-1069-A2EA-08002B30309D 控制面板：21EC2020-3AEA-1069-A2DD-08002B30309D
14
注册表案例
键盘无驱动问题
【故障现象】
键盘无法使用，设备管理器显示：代码 19：由于其配置信息（注册表中的）不完整或已损坏， Windows 无法启动这个硬件设备删除这个设备，在扫描硬件更新，找到后依然是这个错误提示。
【解决方案】
1、定位注册表项，HKLM\SYSTEM
扩展阅读：Winxp系统下，光驱盘符丢失， 设备管理器里光驱有黄色叹号
4、再次卸载键盘设备，重启电脑，系统提示
发现并成功安装了ps/2键盘驱动，安装成功。
类标识符CLSID
定义
CLSID是指windows系统对于不同的应用程序，文件类型，OLE对象，特殊 文件夹以及各种系统组件分配一个唯一表示它的ID代码，用于对其身份的 标示和与其他对象进行区分。
注册表位置
HKEY_CLASSES_ROOT\CLSID\
CLSID是一个128位的随机数 算法
1. 一部分数字来自于系统网卡的序列号，由于每一个网卡的MAC地址都不 一样，因此产生的ID也就会有差异。
2. 另外一部分数字来自于系统的当前时间和状态。
类标识符CLSID
常用系统组件的CLSID
系统内置图标的clsid定义了打开的内容，显示的图标，右键菜单属性等 可以被改动 常见系统组件的clsid
我的文档：450D8FBA-AD25-11D0-98A8-0800361B1103 我的电脑：20D04FE0-3AEA-1069-A2D8-08002B30309D 网上邻居：208D2C60-3AEA-1069-A2D7-08002B30309D 回收站：645FF040-5081-101B-9F08-00AA002F954E I E：871C5380-42A0-1069-A2EA-08002B30309D 控制面板：21EC2020-3AEA-1069-A2DD-08002B30309D
(全)注册表学习PPT资料
HKEY_LOCAL_MACHINE根键结构
HKEY_LOCAL_MACHINE根键是注册表的核心，存放着系统和绝大多数应用软件的设置信息。 锁定/解除 Windows 注册表编辑器 2 HKEY_CLASSES_ROOT根键结构 它存放的信息与HKEY_LOCAL_MACHINE\Software\Classes分支存放的信息是一致的 可以修改注册表，防止控制面板被随意修改。 2、在“组策略编辑器〞对话框中，选择“‘本地计算机’战略”-“用户配置”-“管理模块”-“系统”。 HKEY_CLASSES_ROOT根键结构保存了和操作系统相关的所有关联数据、类型标识以及鼠标右键的常规和扩展功能数据等 。 DEFAULT〕用户、当前登录用户和软件〔Software〕的相关信息 锁定/解除 Windows 注册表编辑器 3、在“系统〞右边对应的选项列表中，选择“阻止访问注册表编辑工具”。 Windows常见问题 5、在弹出的“阻止访问注册表编辑工具属性〞对话框中，将默认设置“未配置〞改为“已启用”，单击“确定〞按钮。 HKEY_CLASSES_ROOT根键结构保存了和操作系统相关的所有关联数据、类型标识以及鼠标右键的常规和扩展功能数据等 。 DEFAULT〕用户、当前登录用户和软件〔Software〕的相关信息 利用注册表修改桌面图标 可以修改注册表，防止控制面板被随意修改。
〔有效，相反设为0为无效），那么“显示属性〞中的“桌面〞选项卡下的“背 景”、“阅读〞和“位置〞下拉菜单呈不可操作状〔此键值对应“组策略〞的 " 本地计算机"战略/用户配置/管理模板/控制面板/显示 列表下的"阻止更改墙纸" 战略）。图片文件的上下文菜单中的“设为桌面背景〞和第三方工具均可更改桌 面背景。
1.4.5 HKEY_CURRENT_CONFIG根键结构