5.1 知識儲備

5.1.1 深入認識注冊表

問答1：什么是注冊表？

注冊表是保存所有系統設置數據的存儲器，它保存了Windows系統運行所需的各種參數和設置，以及應用程序相關的所有信息。從Windows系統啟動開始，到用戶登錄、應用程序運行等所有操作都需要以注冊表中記錄的信息為基礎。注冊表在Windows系統中起著最為核心的作用。

Windows系統運行中，系統環境會隨著應用程序的安裝等操作而改變，改變后的環境設置又會保存在注冊表中，如圖5-1所示。所以，用戶可以通過編輯注冊表來改變Windows系統環境，但如果注冊表出現問題，Windows系統就不能正常工作了。

注冊表中保存著系統設置的相關數據，啟動Windows系統的時候會從注冊表中讀入系統設置數據。如果注冊表受損，Windows系統就會發生錯誤，還有可能造成Windows系統崩潰。

每次啟動Windows系統的時候，電腦都會檢查系統中安裝的設備，并把相關的最新信息記錄到注冊表中。Windows系統內核啟動時，從注冊表中讀入設備驅動程序的信息才能建立Windows系統的運行環境，并選擇合適的. inf文件安裝驅動程序，安裝的驅動程序會改變注冊表中各個設備的環境參數、IRQ、DMA等信息。

啟動完成后，Windows系統和各種應用程序、服務等都會參照注冊表中的信息運行。

安裝各種應用程序的時候，都會在注冊表中登記程序運行時所需的信息。在Windows系統中卸載程序，就會在卸載過程中刪除注冊表中記錄的相關信息。

問答2：什么是注冊表編輯器？

注冊表編輯器與Windows系統的資源管理器相似，呈樹狀目錄結構，注冊表編輯器中的鍵類似于資源管理器中文件夾的概念。資源管理器最頂層的文件叫作“根目錄”，其下一層文件夾叫作“子目錄”。相似的，注冊表編輯器的最頂層叫作“根鍵”，其下一層叫作“子鍵”。單擊鍵前面的三角形箭頭可以打開下一層的子鍵，如圖5-2所示。

“注冊表編輯器”窗口的左側是樹狀鍵，顯示了注冊表的結構；右側窗格顯示鍵的具體信息。

● 菜單欄：菜單欄中有“文件”“編輯”等菜單，可實現文件導入/導出、編輯、查看等操作功能。

● 樹狀鍵：顯示了鍵的結構。

● 名稱：注冊表值的名稱。與文件名相似，注冊表鍵也有重復的現象，但在同一個注冊表鍵中也不能存在相同名稱的注冊表值。

● 類型：注冊表鍵采用的數據存儲形式。

● 數據：注冊表值的內容，注冊表值決定了數據的內容。

● 默認：所有注冊表鍵都會有“（默認）”項目，應用程序會根據注冊表鍵的默認項來訪問其他數值。

5.1.2 認識注冊表的結構及鍵

問答1：注冊表有哪些根鍵？

Windows 10系統的注冊表結構中有5個根鍵，如圖5-3所示。

查看這些根鍵可以發現，5個根鍵中大部分注冊表內容都在HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER中。

問答2：注冊表的值有哪些類型？

注冊表中保存的數據有多種數據類型，有字符串值、二進制值、多字符串值等，如表5-1所示。在注冊表編輯器中，右側窗格中“類型”欄顯示的就是相應鍵值的數據類型。無論是多字符串還是擴充字符串，一個鍵的所有值的總大小都不能超過64KB。

問答3：什么是樹狀結構Hive？

在注冊表編輯器中，單擊鍵前的三角形箭頭圖標，就能從根鍵到子鍵，從子鍵再到下一層的子鍵依次打開，這種樹狀結構叫作Hive。

Windows系統中把主要的HKEY_LOCAL_MACHINE鍵和HKEY_USERS鍵的Hive內容保存在幾個文件夾當中。

Windows會默認把Hive保存在C:\Windows\system32\config文件夾中，其中包含多個default、SAM、SECURITY、software、system、COMPONENTS為名的文件。Hive本身并沒有擴展名。

C:\Windows\system32\config文件夾中的同名文件實際上是擴展名為LOG、SAV、ALT等的多個文件。一般來說，LOG文件用于Hive的登記和監視記錄，SAV文件用于系統發生沖突時恢復注冊表的Hive和保存注冊表的備份。

注冊表中保存用戶資料的HKEY_USERS根鍵的Hive文件保存在Windows目錄中，用戶名文件夾中的NTUSER. DAT文件中，以便用戶各自進行管理。Windows系統中注冊表的保存如表5-2所示。