Windows 取证之注册表

内容导航：

Windows 取证之注册表

win10注册表怎么打开

windows系统的注册表在哪里啊？

在windows里怎么进入注册表呢？

一、Windows 取证之注册表

一、概述

注册表（英语：Registry）是Microsoft Windows操作系统和其应用程序中的一个重要的层次型数据库，用于存储系统和应用程序的配置信息。

早在Windows 3.0推出OLE技术的时候，注册表就已经出现。但是，从Windows 95开始，注册表才真正成为Windows用户经常接触的内容，并在其后的操作系统中继续沿用至今。随后推出的Windows NT是第一个从系统级别广泛使用注册表的操作系统。（via 维基百科）

二、注册表的组成结构

注册表由键（key，或称“项”）、子键（subkey，子项）和值项（value）构成的hive文件组成，关于Windows注册表hive格式的详情说明可以参考这篇文章：regf/Windows registry file format specification.md at master · msuhanov/regf · GitHub

注册表的结构是一个树状结构，一个键（key，或称“项”）就是一个节点，子键（subkey)就是这个节点的子节点，子健也是键。键的一条属性被称为一个value（值项），value由名称、类型、数据类型和数据组成。一个键可以有多个值，每个值的名称不同，如果值名称是空，则该值为该键的默认值。

可以打开注册表编辑器查看其结构组成：

注册表的主键，也就是主分支有五个，分别是：

HKEY_CLASSES_ROOT：包含启动应用程序所需的全部信息，包括扩展名，应用程序与文档之间的关系，驱动程序名，DDE和OLE信息，类ID编号和应用程序与文档的图标等。HKEY_CURRENT_USER：包含当前用户的配置信息，比如环境变量，桌面设置等HKEY_LOCAL_MACHINE：包括安装在计算机上的硬件和软件的信息HKEY_USERS:包含计算机的所有用户配置信息HKEY_CURRENT_CONFIG：当前硬件的配置信息。

注册表数据类型主要有以下几种：

REG_SZ：字符串类型，文本字符串REG_BINARY：二进制类型，不定长度的二进制值，以16进制形式显示REG_DWORD：双字，32 位的二进制值，显示为 8 位的十六进制值REG_MULTI_SZ：多字符串，有多个文本值的字符串，字符串间用 nul 分隔、结尾两个 nulREG_EXPAND_SZ:可扩展字符串，包含环境变量的字符串

注册表中时间格式有以下几种：

FILETIME：64位值，代表间隔多少个单位为100纳秒的时间（从UTC1601年1月1日开始）

Unix Time：32位值，代表间隔多少秒（从UTC1970年1月1日开始）。

DOS Date/Time：两个16位值，详细记录了当地时间和年月日。

三、注册表的存储

注册表在Windows NT操作系统中被分为多个文件存储，这些文件被称为Registry Hives，每一个文件被称为一个配置单元。

主要配置单元有：

SYSTEM：对应的注册表分支为HKEY_LOCAL_MACHINE\SYSTEM，对应的存储文件是\Windows\System32\config\SYSTEM，其作用是存储计算机硬件和系统的信息。NTUSER.DAT：对应的注册表分支是HKEY_CURRENT_USER，存储在用户目录下，与其他注册表文件是分开的，主要用于存储用户的配置信息。SAM：分支是HKEY_LOCAL_MACHINE\SAM，存储在C:\Windows\System32\config\SAM文件中，保存了用户的密码信息。SECURITY：对应的分支HKEY_LOCAL_MACHINE\SECURITY，存储在C:\Windows\System32\config\SECURITY文件中，保存了安全性设置信息。SOFTWARE：分支是HKEY_LOCAL_MACHINE\SOFTWARE，文件存储在C:\Windows\System32\config\SOFTWARE中，保存安装软件的信息。

修改注册表的主要方式有：1、使用提供Windows提供的注册表编辑器：%systemroot%\regedit.exe；2、使用reg命令，可以对注册表进行增删改查、导入导出注册表文件（reg文件）、导入导出或加载配置单元（RegHive）等操作；3、使用reg文件，用户可以通过注册表编辑器导出注册表某些项为一个reg文件，反之可以导入一个reg文件将项目还原或者修改。

此外，为了防止注册表出错和损坏，Registry hives还包括注册的事务日志文件和注册表的备份文件。事务日志文件名与注册表文件一致，且在同一个路径中，只是后缀不同。事务日志文件以.LOG为后缀，多个日志后缀会显示LOG1、LOG2这样。（如果要查看这些日志文件，需要打开文件夹选项，取消勾选“隐藏受保护的操作系统文件”）

备份文件则在\Windows\System32\config\RegBack\路径中。

在发生修改将数据写入到主文件之前，Hive写入器会先将这些数据存储在事务日志文件中，如果写入事务日志时发生错误（比如系统崩溃），则主文件不会受影响。如果写入主文件时发生错误，可以通过事务日志包含的数据恢复主文件。

四、获取和分析Hive

要获取Hive，可以通过reg save命令创建Registry Hives的副本。(在管理员权限的命令提示符中执行)

C:\WINDOWS\system32>reg save hklm\sam c:\sam操作成功完成。C:\WINDOWS\system32>

分析Hive可以使用开源软件RegRipper，RegRipper是一个用perl编写的开源工具，可以从注册表中提取和解析各种信息（Key、value、data）以供取证人员进行分析。

RegRipper项目地址：https://github.com/keydet89/RegRipper3.0

打开RegRipper软件，选择Hive文件，设置好报告存储路径，选择好Profile，然后点Rip It

它会创建两个文件，一个是日志文件，一个是报告文件

打开SAM hive的分析报告文件，可以看到用户和用户组的详细信息

五、取证实战

来源：Cynet应急响应挑战赛

题目描述：Podrick 说在2020 年 2 月 3 日午餐时间（下午 12:00 左右），有一个恶意的 USB 设备插入了他的电脑。他还提到他看到他的一位同事——Theon G，手里拿着 USB设备离开了他的办公室。但Theon 声称他进入办公室是为了拜访 Aria（与Podrick在同一办公室）。见Aria不在，他便离开了办公室。Podrick没有锁屏的习惯，他怀疑Theon趁他不在的时候窃取了他的数据。

提示：1、检查Podrick的电脑；2、确定2020年2月3日，是否有USB设备连接到Podrick的PC？；3、提交可疑 USB 设备的Serial/UID

题目提供的文件是几个Hive文件

这些文件代表什么，在前面的小节中都已经介绍过了，除了Amcache.hve，这是Win8及更高版本的系统才有的。它存储与执行程序相关的信息，当用户执行某些操作（例如运行基于主机的应用程序、安装新应用程序或从外部设备运行便携式应用程序）时，它会记录程序相关的信息：如程序的创建时间、修改时间、名称、描述、程序厂商和版本、程序的执行路径、SHA-1哈希值等。即使程序从系统中删除，这些信息依然存在。

回到题目，我们要调查USB使用痕迹，根据前面的知识，我们需要分析SYSTEM这个Hive文件。

打开RegRipper工具，加载提供的SYSTEM文件，导出分析报告。

打开报告文件，通过搜索USBSTOR(这个key(SYSTEM\CurrentControlSet\Enum\USBSTOR)存储了任何曾经连接过系统的USB设备的产品信息和设备ID)，可以找到有关USB设备的注册表信息。

通过查找和筛选比对，最终我们找到2020-12:12:32有一个USB设备插入了电脑，Serial/UID是: 4C530000281008116284

参考资料：

Registry Hives - Win32 apps | Microsoft Docs https://docs.microsoft.com/en-us/windows/win32/sysinfo/registry-hives

注册表 - 维基百科，自由的百科全书 https://zh.wikipedia.org/wiki/%E6%B3%A8%E5%86%8C%E8%A1%A8

regf/Windows registry file format specification.md at master · msuhanov/regf · GitHub https://github.com/msuhanov/regf/blob/master/Windows%20registry%20file%20format%20specification.md

本文涉及相关实验：FastIRCollector：Windows取证利器 https:///expc.do?ec=ECID9d6c0ca797abec2016100814354600001&pk_campaign=toutiao-wemedia（FastIR Collector是一个Windows下的取证/信息收集工具，收集的东西揽括了所有你能想到的东西，不限于内存，注册表，文件信息等。本实验将介绍FastIR Collector在windows 7下的使用。）

一、win10注册表怎么打开

Windows10系统的注册表能进行很多有关系统和安全方面的设置。那么怎么打开注册表，今天就给大家介绍一下。

1、首先在电脑中，按“win”+“R”键，打开“运行”窗口。

2、输入“regedit”，点击“确定”。

3、这时在打开的窗口中，点击“是”。

4、这样，就打开了“注册表”。

二、windows系统的注册表在哪里啊？

在windows的开始/运行菜单中输入"regedit"你就可以通过注册表编辑器看到注册表,注册表是什么呢?简单地说,它是用来对windows操作系统进行配置的一个工具.通过它,可以对操作系统及应用软件进行优化,可以自己设置windows的使用权限,可以解决硬件及网络设置不当带来的故障甚至可以改造自己的操作系统.
在windows
3.X时代,主要通过WIN.INI及SYSTEM.INI对windows进行配置,但WIN.INI及SYSTEM.INI文件存在着安全性不高,大小受限制等问题,为了解这一问题MICROSOFT公司在WINDOWS98以后的版本中引入了注册表这一便更好的对windows系统进行配置,这就是为什么我们要使用注册表的原因.
注册表的作用是保存程序所需要的信息,当程序需要这些信息时,就从注册表里读出.因此,注册表最基本的功能就是保存信息.
当了解了注册表的主要功能--保存信息后,再来了解其保存信息后,再来了解保存信息所发挥的作用!
1,记录安装信息;
2,设置硬件属性;
3,定制WINDOWS以及应用软件.
注册表逻辑结构中最基本的是主键,子键,键值项以及键值.它们是按照分组的方式来管理和组织的.首先是最底根键,
每个根键下有若干个子键,每个子键下又可以有若干(一个或多个)子键,子键下可以有一个或多个键值项和键值.
根键:注册表中最底层的键,类似于磁盘上的根目录.
子键:子键位于根键下又可以嵌套其他子键中,在注册表的六大根键中,有若干的子键,而每个子键中又可以嵌套成千上万的子键.
键值项与键值:在每个根键和子键下,可以有若干键值,这种结构类似于磁盘上根目录和子目录里的文件和文件内容.
windows
9x注册表逻辑结构中包含六个根键,每个根键包含着分类不同的信息!在windowsNT/2000/XP中,如果用windows自带的编辑器打开的时候,只能看到五个,还有一个隐藏的根键:HKEY_PERFOR_MANCE_DATA.
*HKEY_CLASS_ROOT
记录windows操作系统中所有数据文件的格式和关联信息,主要记录不同文件的文件名后缀和与之对应的应用程序其下子键可分为两类:一类是已经注册的各类文件的扩展名,这类子键前面都带有一个".";另一类是各类文件类型有关信息.
*HKEY_CURRENT_USER
此根根键包含当前登录用户的用户配置文件信息,这些信息保证不同的用户登录计算机时,使用自己的修改化设置,例如自己定义的墙纸,自己的收件箱,自己的安全访问权限.
*HKEY_LOCAL_MACHINE
此根键包含了当前计算机的配置灵气,包括所安装的硬件以软件设置.这些信息是为所有的用户登录系统服务的.这是事个注册表中最庞大也是最重要的根键!
*HKEY_USERS
HKEY_USERS根键包括默认用户的信息(DEFAULT子键)和所有以前登陆用户的信息.
*HKEY_CURRENT_CONFIG
此根键实际上是HKDY_LOCAL_MACHINE/CONFIG/0001分支下的数据完全一样.
*HKEY_DYN_DATA根键
这个键保存每次系统启动时,创建的系统配置和当前性能信息.这个根键只存在于windows
9X中
*HKEY_PERFORMANCE_DATA
在windowsNT/2000/XP注册表中虽然没有HKEY_DYN_DAT键,但是它却隐藏了一个名为"HKEY_PERFORMANCE_DATA的键.所有系统中的动态信息都是存放在此子键中,系统自带的注册表编辑器无法看到些键.介可以用专门的程序来查看此键,比如使用性能监视器.

三、在windows里怎么进入注册表呢？

一，windows xp/windows200X进入注册表
在开始菜单-》运行 中输入 regedit即可进入注册表
二, windows7系统注册表
方法一：“开始”——“所有程序”——“附件”——“命令提示符”（此功能与运行的功能基本相同） ——输入regegit
方法二：右键点击“开始菜单”——“属性”——“开始菜单”标签——“自定义”——拖动滑块到最后找到“运行命令”，前面打钩，“确定”退出，之后打开“开始菜单”在右就能看到“运行…”了。
方法三：快捷键，同时按下键盘上的“Win”(空格键旁边有Windows徽标那个)和字母“R”键 然后输入regegit
方法四：“开始”——“运行”，输入regegit。
三，windows 8系统
1、使用组合键“win+R”打开“运行”对话框。
2、在“运行”对话框中输入“regedit”命令，点击“确定”即可打开注册表。