Windows注册表蜂巢文件文档

Question

Windows注册表蜂巢文件文档

3

我需要一份描述微软Windows注册表文件格式的文档。我找到的唯一一份是这个http://www.sentinelchicken.com/data/TheWindowsNTRegistryFileFormat.pdf，但它与实际的注册表文件格式没有任何共同之处。这里描述的大部分内容根本不起作用。例如，“下一个hive bin的相对偏移量”在我的大多数本地文件中都为0。指向文件中最后一个hbin开头的指针指向了hbin的中间。我知道微软没有对此进行文档化，但我知道有人正在编写解析器来解析注册表文件，所以应该有更好的文档吧？有人知道更好的文档吗？谢谢！

- axe

你遇到了什么实际的编程问题？ - Raymond Chen

4

我遇到了解析注册表文件的实际问题。当然，我可以提出编程问题，甚至带来一个不起作用的例子，但是我的问题的答案指向文档中的特定行。那么，为什么不直接寻求文档呢？编程不仅仅是编码。 - axe

注册表文件格式未经记录，而且在不同版本的Windows上也不同（因此不稳定）。正确的接口是注册表API。如果这是为了取证目的，可以复制该分支并挂载它。 - Raymond Chen

1

是的，你说得对。这是为了取证目的，但如果我挂载它，那么我将无法恢复孤立文件。操作系统是Windows XP。 - axe

2个回答

5

我正在寻找类似的东西。以下是我目前找到的内容（除了你提到的文章）：
使用C＃操作注册表文件
hivex - Windows注册表“hive”提取库

编辑
http://files.volatileminds.net/winreg.txt 这个链接不太精确，但对我来说比你的文档更易懂。 编辑2
描述各种注册表解析程序的文章libhivex：Windows注册表“hive”提取库

- IvanH

感谢分享。我也会在这里发布我发现的与正则表达式格式相关的内容。 - axe

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Rich · Accepted Answer

我建议您只需下载 hivex。它广泛使用，并经过对真实Windows注册表的测试。

不过，您也可以查看lib/tools hivex 子目录中包含了我编写的一些用于逆向工程格式的脚本，以及我所使用的文档的参考资料。