Windows系統(tǒng)注冊(cè)表知識(shí)完全揭密
2020-10-31 15:44:17
供稿：網(wǎng)友
Windows注冊(cè)表是幫助Windows控制硬件、軟件、用戶環(huán)境和Windows界面的一套數(shù)據(jù)文件，注冊(cè)表包含在Windows目錄下兩個(gè)文件system.dat和user.dat里，還有它們的備份system.da0和user.da0。通過(guò)Windows目錄下的regedit.exe程序可以存取注冊(cè)表數(shù)據(jù)庫(kù)。在以前，在windows的更早版本（在Win95以前），這些功能是靠win.ini，system.ini和其他和應(yīng)用程序有關(guān)聯(lián)的.ini文件來(lái)實(shí)現(xiàn)的.
在windows操作系統(tǒng)家族中，system.ini和win.ini這兩個(gè)文件包含了操作系統(tǒng)所有的控制功能和應(yīng)用程序的信息，system.ini管理計(jì)算機(jī)硬件而win.ini管理桌面和應(yīng)用程序。所有驅(qū)動(dòng)、字體、設(shè)置和參數(shù)會(huì)保存在.ini文件中，任何新程序都會(huì)被記錄在.ini文件中。這些記錄會(huì)在程序代碼中被引用。因?yàn)槭躻in.ini和system.ini文件大小的限制，程序員添加輔助的.INI文件以用來(lái)控制更多的應(yīng)用程序。舉例來(lái)說(shuō)，微軟的Excel有一個(gè)office excel.ini文件，它包含著選項(xiàng)、設(shè)置、缺省參數(shù)和其他關(guān)系到Excel運(yùn)行正常的信息。在system.ini和win.ini中只需要指出excel.ini的路徑和文件名即可。
早在Dos和Win3.x的時(shí)代，大部分的應(yīng)用程序都是采用了 ini 文件（初始化文件）來(lái)保存一些配置信息，如設(shè)置路徑，環(huán)境變量等。system.ini和win.ini控制著所有windows和應(yīng)用程序的特征和存取方法，它在少數(shù)的用戶和少數(shù)應(yīng)用程序的環(huán)境中工作的很好。隨著應(yīng)用程序的數(shù)量和復(fù)雜性越來(lái)越大，則需要在.ini文件中添加更多的參數(shù)項(xiàng)。
這樣下來(lái)，在一個(gè)變化的環(huán)境中，在應(yīng)用程序安裝到系統(tǒng)中后，每個(gè)人都會(huì)更改.ini文件。然而，沒(méi)有一個(gè)人在刪除應(yīng)用程序后刪除.ini文件中的相關(guān)設(shè)置，所以system.ini和win.ini這個(gè)兩個(gè)文件會(huì)變的越來(lái)越大。每增加的內(nèi)容會(huì)導(dǎo)致系統(tǒng)性能越來(lái)越慢。而且每次應(yīng)用程序的升級(jí)都出現(xiàn)這樣的難題：升級(jí)會(huì)增加更多的參數(shù)項(xiàng)但是從來(lái)不去掉舊的設(shè)置。而且還有一個(gè)明顯的問(wèn)題，一個(gè).ini文件的最大尺寸是64KB。為了解決這個(gè)問(wèn)題，軟件商自己開始支持自己的.ini文件，然后指向特定的ini文件如win.ini和system.ini文件。這樣下來(lái)多個(gè).ini文件影響了系統(tǒng)正常的存取級(jí)別設(shè)置。如果一個(gè)應(yīng)用程序的.ini文件和WIN.INI文件設(shè)置起沖突，究竟是誰(shuí)的優(yōu)先級(jí)更高呢？
注冊(cè)表最初被設(shè)計(jì)為一個(gè)應(yīng)用程序的數(shù)據(jù)文件相關(guān)參考文件，最后擴(kuò)展成對(duì)于32位操作系統(tǒng)和應(yīng)用程序包括了所有功能下的東東。注冊(cè)表是一套控制操作系統(tǒng)外表和如何響應(yīng)外來(lái)事件工作的文件。這些“事件”的范圍從直接存取一個(gè)硬件設(shè)備到接口如何響應(yīng)特定用戶到應(yīng)用程序如何運(yùn)行等等。注冊(cè)表因?yàn)樗哪康暮托再|(zhì)變的很復(fù)雜，它被設(shè)計(jì)為專門為32位應(yīng)用程序工作，文件的大小被限制在大約40MB。利用一個(gè)功能強(qiáng)大的注冊(cè)表數(shù)據(jù)庫(kù)來(lái)統(tǒng)一集中地管理系統(tǒng)硬件設(shè)施，軟件配置等信息，從而方便了管理，增強(qiáng)了系統(tǒng)的穩(wěn)定性。最直觀的一個(gè)實(shí)例就是，為什么windows下的不同用戶可以擁有各自的個(gè)性化設(shè)置，如不同的墻紙，不同的桌面。這就是通過(guò)注冊(cè)表來(lái)實(shí)現(xiàn)的。
由此可見(jiàn)，注冊(cè)表（Registry）是Windows9x/Me/NT/2000操作系統(tǒng)、硬件設(shè)備以及客戶應(yīng)用程序得以正常運(yùn)行和保存設(shè)置的核心“數(shù)據(jù)庫(kù)”；是一個(gè)巨大的樹狀分層的數(shù)據(jù)庫(kù)。它記錄了用戶安裝在機(jī)器上的軟件和每個(gè)程序的相互關(guān)聯(lián)關(guān)系；它包含了計(jì)算機(jī)的硬件配置，包括自動(dòng)配置的即插即用的設(shè)備和已有的各種設(shè)備說(shuō)明、狀態(tài)屬性以及各種狀態(tài)信息和數(shù)據(jù)等。
一、注冊(cè)表都做些什么？
注冊(cè)表是為Windows NT和Windows95中所有32位硬件/驅(qū)動(dòng)和32位應(yīng)用程序設(shè)計(jì)的數(shù)據(jù)文件。16位驅(qū)動(dòng)在Windows NT下無(wú)法工作，所以所有設(shè)備都通過(guò)注冊(cè)表來(lái)控制，一般這些是通過(guò)BIOS來(lái)控制的。在Win9x下，16位驅(qū)動(dòng)會(huì)繼續(xù)以實(shí)模式方式設(shè)備工作，它們使用system.ini來(lái)控制。16位應(yīng)用程序會(huì)工作在NT或者Win9x 下，它們的程序仍然會(huì)參考win.ini和system.ini文件獲得信息和控制。
在沒(méi)有注冊(cè)表的情況下，操作系統(tǒng)不會(huì)獲得必須的信息來(lái)運(yùn)行和控制附屬的設(shè)備和應(yīng)用程序及正確響應(yīng)用戶的輸入。
在系統(tǒng)中注冊(cè)表是一個(gè)記錄32位驅(qū)動(dòng)的設(shè)置和位置的數(shù)據(jù)庫(kù)。當(dāng)操作系統(tǒng)需要存取硬件設(shè)備，它使用驅(qū)動(dòng)程序，甚至設(shè)備是一個(gè)BIOS支持的設(shè)備。無(wú)BIOS支持的設(shè)備安裝時(shí)必須需要驅(qū)動(dòng)，這個(gè)驅(qū)動(dòng)是獨(dú)立于操作系統(tǒng)的，但是操作系統(tǒng)需要知道從哪里找到它們，文件名、版本號(hào)、其他設(shè)置和信息，沒(méi)有注冊(cè)表對(duì)設(shè)備的記錄，它們就不能被使用。
當(dāng)一個(gè)用戶準(zhǔn)備運(yùn)行一個(gè)應(yīng)用程序，注冊(cè)表提供應(yīng)用程序信息給操作系統(tǒng)，這樣應(yīng)用程序可以被找到，正確數(shù)據(jù)文件的位置被規(guī)定，其他設(shè)置也都可以被使用。
注冊(cè)表保存關(guān)于缺省數(shù)據(jù)和輔助文件的位置信息、菜單、按鈕條、窗口狀態(tài)和其他可選項(xiàng)。它同樣也保存了安裝信息（比如說(shuō)日期），安裝軟件的用戶，軟件版本號(hào)和日期，序列號(hào)等。根據(jù)安裝軟件的不同，它包括的信息也不同。
然而，一般來(lái)說(shuō)，注冊(cè)表控制所有32位應(yīng)用程序和驅(qū)動(dòng)，控制的方法是基于用戶和計(jì)算機(jī)的，而不依賴于應(yīng)用程序或驅(qū)動(dòng)，每個(gè)注冊(cè)表的參數(shù)項(xiàng)控制了一個(gè)用戶的功能或者計(jì)算機(jī)功能。用戶功能可能包括了桌面外觀和用戶目錄。所以，計(jì)算機(jī)功能和安裝的硬件和軟件有關(guān)，對(duì)所以用戶來(lái)說(shuō)項(xiàng)都是公用的。
有些程序功能對(duì)用戶有影響，有些時(shí)作用于計(jì)算機(jī)而不是為個(gè)人設(shè)置的，同樣的，驅(qū)動(dòng)可能是用戶指定的，但在很多時(shí)候，它們?cè)谟?jì)算機(jī)中是通用的。
二、注冊(cè)表的結(jié)構(gòu)劃分及相互關(guān)系
WINDOWS的注冊(cè)表有六大根鍵，相當(dāng)于一個(gè)硬盤被分成了六個(gè)分區(qū)。
在“運(yùn)行”對(duì)話框中輸入RegEdit，然后單擊“確定”按鈕，則可以運(yùn)行注冊(cè)表編輯器。
Windows 98中文版的注冊(cè)表Registry(System.dat、User.dat、Config.pol)的數(shù)據(jù)組織結(jié)構(gòu)。
注冊(cè)表的根鍵共六個(gè)。這些根鍵都是大寫的,并以HKEY_為前綴;這種命令約定是以Win32 API的Registry函數(shù)的關(guān)鍵字的符號(hào)變量為基礎(chǔ)的。
雖然在注冊(cè)表中，六個(gè)根鍵看上去處于一種并列的地位，彼此毫無(wú)關(guān)系。但事實(shí)上，HKEY_CLASSES_ROOT和HKEY_CURRENT_CONFIG中存放的信息都是HKEY_LOCAL_MACHINE中存放的信息的一部分，而HKEY_CURRENT_USER中存放的信息只是HKEY_USERS存放的信息的一部分。
HKEY_LOCAL_MACHINE包括HKEY_CLASSES_ROOT和HKEY_CURRENT_USER中所有的信息。在每次系統(tǒng)啟動(dòng)后，系統(tǒng)就映射出HKEY_CURRENT_USER中的信息，使得用戶可以查看和編輯其中的信息。
實(shí)際上，HKEY_LOCAL_MACHINE/SOFTWARE/Classes就是HKEY_CLASSES_ROOT，為了用戶便于查看和編輯，系統(tǒng)專門把它作為一個(gè)根鍵。同理，HKEY_CURRENT_CONFIG/SY-STEM/Current Control就是HKEY_LOCAL_MACHINE/SYSTEM/Current Control。
HKEY_USERS中保存了默認(rèn)用戶和當(dāng)前登錄用戶的用戶信息。HKEY_CURRENT_USER中保存了當(dāng)前登錄用戶的用戶信息。
HKEY_DYN_DATA保存了系統(tǒng)運(yùn)行時(shí)的動(dòng)態(tài)數(shù)據(jù)，它反映出系統(tǒng)的當(dāng)前狀態(tài)，在每次運(yùn)行時(shí)都是不一樣的，即便是在同一臺(tái)機(jī)器上。
根據(jù)上面的分析，注冊(cè)表中的信息可以分為HKEY_LOCAL_MACHINE和HKEY_USERS兩大類，這兩大類的詳細(xì)內(nèi)容請(qǐng)看后面的介紹。
三、六大根鍵的作用
在注冊(cè)表中，所有的數(shù)據(jù)都是通過(guò)一種樹狀結(jié)構(gòu)以鍵和子鍵的方式組織起來(lái)，十分類似于目錄結(jié)構(gòu)。每個(gè)鍵都包含了一組特定的信息，每個(gè)鍵的鍵名都是 和它所包含的信息相關(guān)的。如果這個(gè)鍵包含子鍵，則在注冊(cè)表編輯器窗口中代表這個(gè)鍵的文件夾的左邊將有“＋”符號(hào)，以表示在這個(gè)文件夾中有更多的內(nèi)容。如果這個(gè)文件夾被用戶打開了，那么這個(gè)“＋”就會(huì)變成“－”。
1.HKEY_USERS
該根鍵保存了存放在本地計(jì)算機(jī)口令列表中的用戶標(biāo)識(shí)和密碼列表。每個(gè)用戶的預(yù)配置信息都存儲(chǔ)在HKEY_USERS根鍵中。HKEY_USERS是遠(yuǎn)程計(jì)算機(jī)中訪問(wèn)的根鍵之一。
2.HKEY_CURRENT_USER
該根鍵包含本地工作站中存放的當(dāng)前登錄的用戶信息,包括用戶登錄用戶名和暫存的密碼(注：此密碼在輸入時(shí)是隱藏的)。用戶登錄Windows 98時(shí)，其信息從HKEY_USERS中相應(yīng)的項(xiàng)拷貝到HKEY_CURRENT_USER中。
3.HKEY_CURRENT_CONFIG
該根鍵存放著定義當(dāng)前用戶桌面配置(如顯示器等)的數(shù)據(jù),最后使用的文檔列表（MRU）和其他有關(guān)當(dāng)前用戶的Windows 98中文版的安裝的信息。
4.HKEY_CLASSES_ROOT
根據(jù)在Windows 98中文版中安裝的應(yīng)用程序的擴(kuò)展名,該根鍵指明其文件類型的名稱。
在第一次安裝Windows 98中文版時(shí),RTF(Rich Text format)文件與寫字板(WordPad)&127;聯(lián)系起來(lái),但在以后安裝了中文Word 6.0后，雙擊一個(gè)RTF文件時(shí)，將自動(dòng)激活Word。存放在SYSTEM.DAT中的HKEY_CLASSES_ROOT，將替代WIN.INI文件中的[Extensions]&127;小節(jié)中的設(shè)置項(xiàng),它把應(yīng)用程序與文件擴(kuò)展名聯(lián)系起來(lái),它也替代了Windows 3.x中的Reg.dat文件中的相似的設(shè)置項(xiàng)。
5.HKEY_LOCAL_MACHINE
該根鍵存放本地計(jì)算機(jī)硬件數(shù)據(jù),此根鍵下的子關(guān)鍵字包括在SYSTEM.DAT中,用來(lái)提供HKEY_LOCAL_MACHINE所需的信息,或者在遠(yuǎn)程計(jì)算機(jī)中可訪問(wèn)的一組鍵中。
該根鍵中的許多子鍵與System.ini文件中設(shè)置項(xiàng)類似。
6.HKEY_DYN_DATA
該根鍵存放了系統(tǒng)在運(yùn)行時(shí)動(dòng)態(tài)數(shù)據(jù)，此數(shù)據(jù)在每次顯示時(shí)都是變化的，因此，此根鍵下的信息沒(méi)有放在注冊(cè)表中。
四、注冊(cè)表部分重要內(nèi)容
注冊(cè)表是一個(gè)大型數(shù)據(jù)庫(kù)Registry。要詳細(xì)地分析該數(shù)據(jù)庫(kù)，不是一兩頁(yè)就能介紹完。我曾經(jīng)用了半年多時(shí)間分析此數(shù)據(jù)庫(kù)結(jié)構(gòu)。下面只介紹部分重要內(nèi)容。
(一)HKEY_CLASS_ROOT
1.HKEY_CLASS_ROOT/Paint.Pricture/DefaultIcon雙擊窗口右側(cè)的默認(rèn)字符串，在打開的對(duì)話框中刪除原來(lái)的“鍵值”，輸入%1。重新啟動(dòng)后，在“我的電腦”中打開Windows目錄，選擇“大圖標(biāo)”，然后你看到的Bmp文件的圖標(biāo)再也不是千篇一律的MSPAINT圖標(biāo)了，而是每個(gè)Bmp文件的略圖（前提是未安裝ACDSee等看圖軟件）。
(二)HKEY_CURRENT_USER
1.HKEY_CURRENT_USER/Control Panel/Desktop 中新建串值名MenuShowDelay=0 可使“開始”菜單中子菜單的彈出速度提高。
2.在HKEY_CURRENT_USER/Control Panel/Deskt-op/WindowsMeterics中新建串值名MinAnimate，值為1啟動(dòng)動(dòng)畫效果開關(guān)窗口，值為0取消動(dòng)畫效果。
（三） HKEY_LOCAL_MACHINE
1.HKEY_LOCAL_MACHINE/software/microsoft/windows/currentVersion/explorer/user shell folders 保存?zhèn)€人文件夾、收藏夾的路徑。
2.HKEY_LOCAL_MACHINE/system/currentControl-Set/control/keyboard Layouts 保存鍵盤使用的語(yǔ)言以及各種中文輸入法。
3.HKEY_LOCAL_MACHINE/software/microsoft/windows/currentVersion/uninstall 保存已安裝的Windows應(yīng)用程序卸載信息。
4.HKEY_LOCAL_MACHINE/system/CurrentControl-Set/services/class 保存控制面板-增添硬件設(shè)備-設(shè)備類型目錄。
5.HKEY_LOCAL_MACHINE/system/Current-ControlSet/control/update 設(shè)置刷新方式。值為00設(shè)置為自動(dòng)刷新，01設(shè)置為手工刷新[在資源管理器中按F5]。
6.HKEY_LOCAL_MACHINE/software/microsoft/win-dows/currentVersion/run 保存由控制面板設(shè)定的計(jì)算機(jī)啟動(dòng)時(shí)運(yùn)行程序的名稱，其圖標(biāo)顯示在任務(wù)條右邊。在“啟動(dòng)”文件夾程序運(yùn)行時(shí)圖標(biāo)也在任務(wù)條右邊。
7.HKEY_LOCAL_MACHINE/software/microsoft/windows/currentVersion/Policies/Ratings 保存IE4.0中文版“安全”/“分級(jí)審查”中設(shè)置的口令(數(shù)據(jù)加密),若遺忘了口令,刪除 Ratings 中的數(shù)據(jù)即可解決問(wèn)題。
8.HKEY_LOCAL_MACHINE/software/microsoft/windows/currentVersion/explorer/desktop/nameSpace 保存桌面中特殊的圖標(biāo),如回收站、收件箱、MS Network等。
（四） HKEY_USERS
1.HKEY_USERS/.Default/software/microsoft/internet explorer/typeURLs保存IE4.0瀏覽器地址欄中輸入的URL地址列表信息。清除文檔菜單時(shí)將被清空。
2.HKEY_USERS/.Default/so../mi../wi../current-Version/ex../menuOrder/startMenu保留程序菜單排序信息。
3.HKEY_USERS/.Default/so../microsoft/windows/current-Version/explorer/RunMRU保存“開始 / 運(yùn)行...”中運(yùn)行的程序列表信息。清除文檔菜單時(shí)將被清空。
4.HKEY_USERS/.Default/so../microsoft/windows/current-Version/explorer/RecentDocs 保存最近使用的十五個(gè)文檔的快捷方式(刪除掉可解決文檔名稱重復(fù)的毛病)，清除文檔菜單時(shí)將被清空。
5.HKEY_USERS/.default/software/microsoft/windows/currentVersion/applets 保存Windows應(yīng)用程序的記錄數(shù)據(jù)。
6.HKEY_USERS/.default/software/microsoft/windows/currentVersion/run保存由用戶設(shè)定的計(jì)算機(jī)啟動(dòng)時(shí)運(yùn)行程序的名稱，其圖標(biāo)顯示在任務(wù)條右側(cè)。
五、與注冊(cè)表有關(guān)的術(shù)語(yǔ)：
①、注冊(cè)表：是一個(gè)樹狀分層的數(shù)據(jù)庫(kù)。從物理上講，它是System.dat和User.dat兩個(gè)文件；從邏輯上講，它是用戶在注冊(cè)表編輯器中看到的配置數(shù)據(jù)。
②、HKEY ：“根鍵”或“主鍵”，它的圖標(biāo)與資源管理器中文件夾的圖標(biāo)有點(diǎn)兒相像。Windows98將注冊(cè)表分為六個(gè)部分，并稱之為 HKEY_name，它意味著某一鍵的句柄。
③、key(鍵)：它包含了附加的文件夾和一個(gè)或多個(gè)值。
④、subkey（子鍵）：在某一個(gè)鍵（父鍵）下面出現(xiàn)的鍵（子鍵）。
⑤、branch（分支）：代表一個(gè)特定的子鍵及其所包含的一切。一個(gè)分支可以從每個(gè)注冊(cè)表的頂端開始，但通常用以說(shuō)明一個(gè)鍵和其所有內(nèi)容。
⑥、value entry（值項(xiàng)）：帶有一個(gè)名稱和一個(gè)值的有序值。每個(gè)鍵都可包含任何數(shù)量的值項(xiàng)。每個(gè)值項(xiàng)均由三部分組成：名稱，數(shù)據(jù)類型，數(shù)據(jù)。
★ 名稱：不包括反斜杠的字符、數(shù)字、代表符、空格的任意組合。同一鍵中不可有相同的名稱。
★ 數(shù)據(jù)類型：包括字符串、二進(jìn)制、雙字三種。
字符串(REG_SZ)：顧名思義，一串ASCII碼字符。如“Hello World”，是一串文字或詞組。在注冊(cè)表中，字符串值一般用來(lái)表示文件的描述、硬件的標(biāo)識(shí)等。通常它由字母和數(shù)字組成。注冊(cè)表總是在引號(hào)內(nèi)顯示字符串。
二進(jìn)制(REG_BINARY）：如 F03D990000BC ，是沒(méi)有長(zhǎng)度限制的二進(jìn)制數(shù)值，在注冊(cè)表編輯器中，二進(jìn)制數(shù)據(jù)以十六進(jìn)制的方式顯示出來(lái)。
雙 字(REG_DWORD)：從字面上理解應(yīng)該是Double Word ，雙字節(jié)值。由1-8個(gè)十六進(jìn)制數(shù)據(jù)組成，我們可用以十六進(jìn)制或十進(jìn)制的方式來(lái)編輯。如 D1234567 。
★ 數(shù)據(jù)： 值項(xiàng)的具體值，它可以占用到64KB。
⑦、 Default（缺省值）：每一個(gè)鍵至少包括一個(gè)值項(xiàng)，稱為缺省值（Default），它總是一個(gè)字串。
