认识注册表-2

2.注册表结构-续

注册表逻辑结构中最基本的是根键、子键、键值项以及键值。它们是按照分级的方式来管理和组织的。

2.2 HKEY_CLASSES_ROOT 根键

它保存着系统所有的文件类型、文件扩展关联、应用程序OLE（对象链接和嵌入）及DDE（动态数据交换）的相关数据等重要信息。

1. 类定义子键（batfile子键）

类定义子键的键名，必须和相应“扩展名子键”的默认键值所定义的相同。

2. 扩展名子键（.bat子键）

扩展名子键由“.”加上相应扩展名构成。
该子键中“默认”键值项起着入口的作用，指向一个“类定义子键”，以便在其中对该扩展名类型的文件进行定义。
多个扩展名子键的默认值可指向同一个“类定义子键”。

3. *子键

*子键主要应用于所有文件的类定义。

4. Autorun 子键。

此子键只存在于Windows 98 中，每个磁盘的根目录下，都可以存放一个Autorun.inf文件。

5.CLSID（类标识符）子键

这些“类标识符”定义了系统及文件的OLE和其他重要属性，可以说在系统中几乎所有高级设置，都涉及到“类标识符”。

6. Directory、Drive、Folder 子键

用作文件夹关联。
* Directory：仅作用于一般文件夹。
* Drive：仅作用于驱动器。
* Folder：作用于所有文件夹（含以上两种，及“回收站”、“控制面板”等特殊文件夹）。

7. HTTP（URL类定义）子键

详细定义了URL的运作方式，即URL位置是以HTTP为前缀的，采用此子键下定义的方式打开URL文件。
和HTTP子键同一性质的URL类定义的子键还有：urls、file、gopher、ldap、ftp、HTTPs、MMS、MMST、MMSU、MSBD、telnet、rlogin、tn3270、callto、obiref、news、snews、nntp、mailto、book、vnd.ms.radio

8. Unknown 子键

所有Windows中未注册的未知文件也同样属于一个类型，Windows将这些文件识别为“未知文件”。

9. 其他子键

• MIME：用于定于多语言编码格式。
• License：保存一些程序的执照信息。一些程序的注册序列号等加密数据，也可能保存在此子键下的相应位置中。
• TypeLib：保存程序已注册的类信息。
• 其他程序的设置信息：有些程序为了保密起见，将一些原本应该保存在HKEY_LOCAL_MACHIN E\SOFTWARE 等子键下的信息保存在这里。基本无规律可循。

2.3 HKEY_CURRENT_USER 根键

主要保存与当前登录用户有关的各种信息。
主要包括：用户的环境变量、网络连接、个人程序组、桌面风格、输入法设置、打印机、应用程序的选项设置等个性化设置信息。

1. AppEvents 子键

包含了各种应用事件（包括事件名称、描述以及各种系统功能的声音）的列表，每一个事件都有事件标志，而且还包含了当某个事件发生后将发出何种声音的定义。
在AppEvents 子键下，包括了EventLabels（按字母顺序列表）和Schemes（按事件分类列表）两个子键。
* EventLabels：保存各个事件的名称和与之对应的详细说明。
* Schemes：保存声音分配方案，当发生不同的事件时，系统将发出相应的声音。

2. Control Panel 子键

该子键下，存放着许多“控制面板”应用程序的设置和初始值。它所包含的内容与桌面、光标、键盘和鼠标等设置相关，改变它们的键值就是改变对应的工作环境或参数。

3. Identities 子键

只有安装了Outlook Express 以后才会出现此子键，其中的内容主要用于管理Outlook Express中的用户配置信息。

4. keyboard layout 子键

主要用于设置键盘的布局，如键盘语言的加载顺序等。

5. Software 子键

包含了所有已安装软件的有关信息。
这些信息通常以生产厂商为序进行排列，但很多应用程序在该子键下都会注册自己的子键及相关的信息。

（1） Classes 子键

用于设置当前用户的“我的电脑”、“回收站”及“网上邻居”等系统级的图标。

（2）Microsoft 子键

用于保存Microsoft公司开发的应用程序的相关数据，其中包含有Windows 系统中许多部件的信息。

（3）ODDBC子键

这里的ODDBC是一种数据库编程访问接口，它能使应用程序访问结构化查询语言（SQL）。
其下有一个子键ODBC.INI，该子键下面记录了对ODBC数据源管理器的配置情况。

2.4 HKEY_LOCAL_MACHINE 根键

保存了当前电脑的配置数据，还包括了同电脑有关的信息，包括用户信息、安全信息、登录信息、各种当前系统已安装的软件信息等。

1. HARDWARE 子键

描述了系统的硬件信息，其中大部分信息都会在每次系统启动时重建，以检查硬件系统的更新情况。
包含4个子键，功能如下：
* ACPI：高级电源管理设置，与主板的ACPI支持相关。
* Description：包含处理器、协处理器和“多功能”适配器的信息。
* DeviceMap：包含大部分设备的子键。
* RESOURCEMAP：（硬件）系统映射信息。

2. SAM 子键

关于安全账号管理器的子键，其中存储着重要的用户信息和域信息。
其中的信息不可访问，只能由系统管理员通过用户管理器进行管理。

3. SECURITY 子键

系统预留的子键，这里的信息与本地安全性和用户权限有关，其中含有SAM子键的备份。
用户不能访问，只能由系统管理员使用管理工具进行修改。

4. Software 子键

包含了当前Windows 系统中绝大部分的软件信息。
此分支下的大部分都是应用程序在安装时或存放用户初始化信息时建立的。

（1）Clients 子键

主要包含了Windows 使用的电子邮件及相关服务的信息

（2）Microsoft 子键

许多子键分别代表着在操纵系统中安装的Microsoft程序。

（3）Office 子键

存放了有关Office 软件的公用配置信息，它可能有“8.0”、“9.0”或“11.0”等子键，与当前系统中所安装的Office版本有关。
通常，Office子键都包含有如下子键：
* Access：Microsoft Access 全功能的桌面数据库系统。
* Common：对多个Microsoft Office 部件共同的项。
* Excel：包含有关Excel电子表格程序的信息。
* Outlook：包含了高级电子邮件客户程序的相关信息。
* Word：包含有关字处理软件的相关信息。
* Delivery：出错信息传送设置。

（4）ODBC 子键

这里的ODBC（开放数据连接）子键，用于应用程序共享数据库中数据的相关信息。
应用程序可使用ODBC通过一系列的公共API（应用程序接口），调用打开数据库，读取（有时还可更新）数据库中的数据。

5. System 子键

包含与系统配置有关的信息。

2.5 HKEY_USERS 根键

包含有默认用户的基本配置信息（对应Default 主键）及所有以前登录用户的相关信息。
其中，.Default 子键包括和所有用户相关的各种设置，且和Windows 下的User.dat文件相对应。
.Default下主要有以下几个子键：
* AppEvents：登录
* Control Panel：与控制面板设置有关的内容
* Keyboard Layout：键盘设置信息
* Software：软件的有关信息。
.Default 子键的配置主要针对未来将会被创建的新用户。新用户根键默认用户的配置信息来生成自己的配置文件，该配置文件包括环境、屏幕、声音等多种信息。

1. APPEvents 子键

记录已注册的各种应用时间。

2. Control Panel 子键

包含的内容与桌面、光标、键盘和鼠标等设置有关。

3. Keyboard Layout 子键

用于设置键盘布局。包括三个子键：
* Preload：用于设置键盘语言的加载顺序。
* Substitutes：用于设置可替换的键盘语言布局。通常情况下，该子键的设置是空的。
* Toggle：用于选择键盘语言。

4. Software 子键

包含了大量的应用程序信息。

2.6 HKEY_CURRENT_CONFIG 根键

此根键是 HKEY_LOCAL_MACHINE 根键中内容的映射，它管理多套硬件配置文件方案。
默认情况下，此处保存的是当前配置文件的所有信息。

2.7 HKEY_DYN_DATA 根键

此根键的信息是由系统在启动时生成的，包括了Windows 98用来操作各种硬件的动态信息。

1. Config Manager 子键

包括了系统中所有已经安装设备的信息，这些是通过该子键的Enum（枚举）子键来显示的。

2. PerfStats 子键

保存了Windows 98 系统各个设备的运行功能，如运行开始、进行中，运行结束等。

参考：
康轩文化.《2007 BIOS与注册表全攻略》.[M].四川出版集团，2017年2月第一版∶P94-109.