windows系统安装——系统注册表的作用

• 觉得可以的点波关注哦！！！

概念

注册表是Microsoft Windows操作系统中的一个重要数据库，用于储存系统和应用程序的设置信息。

打开注册表编辑器

---

打开windows开始菜单的运行，然后键入regedit，便打开了Windows自带的注册表编辑器。

初步读懂注册表编辑器内容

---

** 1. 根键（HKEY）与主键 **

注册表左侧有五项（xp有六项）最大的文件夹为** 根键 **，根键打开后的第一级文件夹目录都是主键，子键就是子文件夹，很好理解。

---

Paste_Image.png

• 【HKEY_CLASSES_ROOT】。该根键包含有关OLE的信息，以便在系统工作过程中实现对各种文件和文档信息的访问。具体内容包括已注册的文件扩展名、文件类型、文件图标、从win.ini文件中引入的扩展名的数据等，此外还包括诸如“我的电脑”、“回收站”及“控制面板”等标志，该根键的数据适用于所有用户。

• 【HKEY_USERS】。该根键中包含了用户根据个人爱好所设置的诸如桌面、背景、开始菜单程序项、应用程序快捷键、显示字体及显示器节能设置等信息。其中的大部分设置都可以通过控制面板进行修改，有经验的用户也可以直接在注册表中对这些设置进行修改。

• 【HKEY_CURRENT_USER】。该根键中保存了当前登录用户的配置信息及登录信息，实际上它就是根键HKEY_USERS中.Default分支下的一部分内容。如果在HKEY_USERS.default分支下没有用户登录的其他内容，那么这两个根键所包含的内容是完全相同的。

• 【HKEY_LOCAL_MACHINE】。该根键包含了本地计算机（相对于网络环境而言）系统软件和硬件的全部信息。当系统硬件配置和软件设置发生变化时，该根键下的相关项也就发生相应的变化，其中的数据适合于所有用户。

• 【HKEY_CURRENT_CONFIG】。该根键包含所有连接到本计算机上的硬件的配置数据，这些数据会根据当前计算机连接的网络类型、硬件配置以及应用软件的安装的不同而不所变化。它实际上是指向HKEY_LOCAL_MACHINEConfig分支的指针，其下的主键及内容与HKEY_LOCAL_MACHINEConfig1分支下的主键和内容是完全相同的。

• （【HKEY_DYN_DATA】。该根键包含了系统运行过程中的动态数据信息，比如系统性能和即特即用的动态信息等。此外，它还包含了那些需要更新和检索的数据。该根键实际上是指向根键HKEY_LOCAL_MACHINE的一个分支，所以在xp之后的系统上已不再出现，直接是HKEY_LOCAL_MACHINE。）

因为主键过多，我们就不多说了，稍后可能会挑几个要用到的提一下，具体大家可以参考这里的关于主键的说明（别吐槽，这是我千辛万苦能找到的唯一的注册表学习教程，大家如果能找到更好的一定要告诉我/(ㄒoㄒ)/~~）

** 2. 键值对 **

注册表大概的格式就是由** 键 和 值项 组成。 键 就是那些分支的文件夹，而 值项 **由名称、数据类型以及分配的值组成。一个键可以有一个或多个值，每个值的名称各不相同，如果一个值的名称为空，则该值为该键的默认值。

注册表的数据类型主要有以下四种：显示类型（在编辑器中）数据类型说明

显示类型

** 3. reg文件书写 **

创建文本文档，即可开始写入

Windows Registry Editor Version 5.00[HKEY_CLASSES_ROOTDirectoryshellcmd_here]@="cmd here"[HKEY_CLASSES_ROOTDirectoryshellcmd_herecommand]@="cmd.exe /k cd %1"

第一行就是指定注册表编辑器格式，类似HTML的文档声明，2、4行是要创建的键，2、5是其对应的值。然后保存，记得后缀名改为.reg然后双击即可注入此注册表。

应用

** 1. 设置应用打开文件夹 **

刚刚的语法格式我们示范了如何以cmd右键打开文件夹，但是如何在文件夹中不选中文件夹，直接右键菜单中打开此文件夹呢？

Windows Registry Editor Version 5.00[HKEY_CLASSES_ROOTDirectoryBackgroundshellcmd_here]@="cmd here"[HKEY_CLASSES_ROOTDirectoryBackgroundshellcmd_herecommand]@="cmd.exe /k cd %1"

这样写即可做到，有什么区别呢？我们可以看到这里创建键时是在主键Background中创建的，这意味着在文件夹背景中点击右键菜单会出现的应用扩展菜单。shell里创建键cmd_here，值表示在右键菜单中的名字，然后这里的子键command就表示会执行的命令，其中“/k”表示执行完后不关闭窗口“%1中%1”是“CD”命令的第一个（%1）参数（这里是路径）。不过为什么同样的格式会这样有不同的功能，这是系统自己的设置，毕竟注册表的前身就是Windows系统中的 ini 配置文件。我们只需遵循语法，注意所属目录是哪里的配置即可。

** 2. 镜像劫持 **

所谓的镜像劫持，就是在注册表的[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NT CurrentVersionImage File Execution Options]（IFEO，映像劫持，留给程序员调bug的）处新建一个以目标程序命名的项，例如22.exe。然后再创建一个子键"Debugger"="C:WINDOWSsystem32drivers.exe"。以后只要用户双击 22.exe就会运行OSO的病毒文件33.exe，类似文件关联的效果。

Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NT CurrentVersionImage File Execution Options]"Debugger"="C:WINDOWSsystem32drivers.exe"

但是现在的Windows系统因为权限问题，一般这样是不会成功将值写入注册表的，需要事先设置权限，然而，为了安全起见，谨慎修改写入注册表这些关键键的权限。