注册表(英语:Registry）是Microsoft Windows用于存储系统和应用程序配置信息的重要层次数据库。

早在Windows 3.0推出OLE注册表出现在技术上。但是，从Windows 从95开始，注册表才真正成为Windows在随后的操作系统中，用户经常接触内容并继续使用。随后推出的Windows NT是第一个从系统级别广泛使用注册表的操作系统。（via 电脑 维基百科）

注册表由键（key，或称项)、子键（subkey，子项)和值项（value）构成的hive文件组成，关于Windows注册表hive格式详情请参考本文：regf/Windows registry file format specification.md at master · msuhanov/regf · GitHub

注册表的结构是树状结构和键（key，或项)是一个节点，子键（subkey)子健也是这个节点的子节点。键的属性称为一个属性value（值项），value由名称、类型、数据类型和数据组成。键的属性称为一个属性value（值项），value它由名称、类型、数据类型和数据组成。一个键可以有多个值，每个值的名称都不一样。如果值名是空的，值为键的默认值。

打开注册表编辑器查看其结构组成：

注册表的主键有五个，即主分支：

注册表的数据类型如下：

注册表中的时间格式如下：

FILETIME：64位值代表100纳秒的间隔(从UTC1601年1月1日开始)

Unix Time：32位值，代表间隔多少秒(从UTC1970年1月1日开始)。

DOS Date/Time：当地时间和年月日详细记录了两个16位值。

三、存储登记表

主要配置单元有：

修改登记表的主要方法有：1。提供使用Windows注册表编辑器：%systemroot%\\regedit.exe；2、使用reg命令可以添加、删除和检查注册表，导入和导出注册表文件（reg导出或加载配置单元（RegHive）等待操作；3.使用reg文件，用户可以通过注册表编辑器导出注册表中的某些项目reg相反，可以导入文件reg文件还原或修改项目。

在修改将数据写入主文件之前，Hive写入器将首先将这些数据存储在事务日志文件中。如果在写入事务日志时出现错误（如系统崩溃），则不会影响主文件。如果在写入主文件时出现错误，可以通过事务日志中包含的数据恢复主文件。

四、获取和分析Hive要获取Hive，可以通过reg save命令创建Registry Hives的副本。(执行管理员权限的命令提示符)

分析Hive可使用开源软件RegRipper，RegRipper是一个用perl编写的开源工具可以从登记表中提取和分析各种信息（Key、value、data）供取证人员分析。

五、取证实战

来源：Cynet应急挑战赛

题目描述：Podrick 说在2020 年 2 月 3 午餐时间(下午 12:00 左右)，有恶意的。 USB 他的电脑插入了设备。他还提到他看到了他的一个同事——Theon G，手里拿着 USB设备离开了他的办公室。他还提到他看到了他的一个同事——Theon G，手里拿着 USB设备离开了他的办公室。Theon 声称他进入办公室是为了拜访他 Aria（与Podrick在同一个办公室)。见Aria不，他离开了办公室。Podrick他怀疑没有锁屏的习惯。Theon当他不在的时候，他他的数据。

除了这些文件代表什么，这些文件已经在前面的小节中介绍过了。Amcache.hve，这是Win只有更高版本的系统才有。它存储与执行程序相关的信息，当用户执行某些操作（如基于主机的应用程序、安装新应用程序或从外部设备运行便携式应用程序）时，会记录程序相关信息：如程序创建时间、修改时间、名称、描述、程序制造商和版本、程序执行路径等SHA-1哈希值等。即使程序从系统中删除，这些信息仍然存在。

参考资料：

Registry Hives - Win32 apps | 电脑 Microsoft Docs https://docs.microsoft.com/en-us/windows/win32/sysinfo/registry-hives

注册表 - 维基百科，免费百科全书 https://zh.wikipedia.org/wiki/注册表regf/Windows registry file format specification.md at master · msuhanov/regf · GitHub https://github.com/msuhanov/regf/blob/master/Windows registry file format specification.md