三网合一网站建设报价,cdn wordpress 回复,企查查企业信息,深圳建设网招标公告文章目录 前言4.1注册表查看和修改注册表注册表用法注册表数据类型注册表逻辑结构HKEY_CURRENT_USERHKEY_USERS 实验#xff1a;观察轮廓加载和卸载HKEY_CLASSES_ROOTHKEY_LOCAL_MACHINE 实验:离线方式或远程编辑BCDHKEY_CURRENT_CONFIGHKEY_PERFORMANCE_DATA 前言
本章讲述了… 文章目录 前言4.1注册表查看和修改注册表注册表用法注册表数据类型注册表逻辑结构HKEY_CURRENT_USERHKEY_USERS 实验观察轮廓加载和卸载HKEY_CLASSES_ROOTHKEY_LOCAL_MACHINE 实验:离线方式或远程编辑BCDHKEY_CURRENT_CONFIGHKEY_PERFORMANCE_DATA 前言
本章讲述了Microsoft Windows操作系统中四种基本的机制它们对于系统的管理和配置至关重要它们是:
注册表服务统一的背景进程管理器Windows管理设施Windows诊断基础设施
4.1注册表
注册表在Windows系统的配置和控制方面扮演了一个非常关键的角色。它既是系统全局设置的存储仓库也是每个用户的设置信息的存储仓库。虽然大多数人都把注册表想象成存储在磁盘上的静态数据但是在这一节中你将会看到注册表也是Windows执行体和内核所维护的各种内存中数据结构的一个窗口。 我们首先从总体上介绍注册表的结构并讨论一下它所支持的数据类型简要地浏览一下Windows在注册表中维护的关键信息。然后我们进一步讨论配置管理器 configurationmanager)的内部机理。这里的配置管理器是负责实现注册表数据库的执行体组件。我们将会涉及的话题有:注册表在磁盘上的内部结构、当一个应用程序请求配置信息时Windows如何获得相应的信息以及Windows采用了哪些手段来保护这一关键的系统数据库。
查看和修改注册表
一般来说你应该永远不需要直接编辑注册表:如果存储在注册表中的应用程序设置和系统设置需要手工修改那么它们应该有一个对应的用户界面来控制其修改。然而正如你在本书中已经多次看到过的那样有些高级设置和调试设置并没有相应的编辑用户界面。因此Windows中包含了图形用户界面GUI和命令行工具用于查看和修改注册表。
注册表用法
配置数据主要在四个时间点上被读取:
在初始的引导过程中引导加载器读入配置数据和引导设备驱动程序的列表以便 在初始化内核以前将它们加载到内存中。因为BCD引导配置数据库BootConfiguration Database实际上存放在注册表储巢中有人可能会争辩说对注册表的访问发生在更早的时候当引导管理器显示操作系统列表的时候)。在内核引导过程中内核读取有关的设置信息这些设置信息指定了应该加载哪些设备驱动程序以及各个系统部件(比如内存管理器和进程管理器(process manager))该如何配置以及该如何调整系统的行为。在登录过程中Explorer和其他的Windows组件从注册表中读取到每个用户的参数选择包括网络驱动器字母映射、桌面墙纸、屏幕保护程序、菜单行为和图标的摆放以及可能更重要的是哪些启动程序需要激发起来以及哪些文件最近被访问过。在应用程序启动过程中它们读取系统全局范围的设置比如所有可选安装的组件列表和许可数据还读取一些针对每个用户的设置信息可能包括菜单和工具栏的摆放以及最近访问过的文档的列表。
然而在其他时间点上也可以读取注册表比如在响应注册表值或键的修改的时候。注册表提供了异步回调机制这是优先采用的接收注册表变化通知的方法尽管如此仍然有些应用程序会通过不停查询的做法来监视它们存放在注册表中的设置信息以便自动地让更新过的设置信息起作用。然而一般来说在一个空闲的系统上注册表不应该有任何活动显然这样的应用程序违反了注册表的最佳实践原则。(Sysinternals的Process Monitor是一个追查这种活动和错误应用程序的极佳工具。)
在下面的情形下注册表通常会被修改:
虽然算不上是修改但是注册表的初始结构和许多默认设置是由一个原型版本的 注册表来定义的此原型版本随Windows的安装介质一起发行在安装的时候被拷贝到一个新的系统中。应用安装工具创建了默认的应用程序设置以及一些可反映出安装配置选项的设置信息。在设备驱动程序的安装过程中即插即用系统在注册表中创建了一些设置告诉I/O 管理器如何启动此驱动程序;还创建了其他一些用于配置该驱动程序如何操作的设置(有关设备驱动程序如何被安装到系统中的更多信息参见本书下册第8章“I/O系统”)。当你通过用户界面改变了应用程序或者系统设置时这些改变通常被保存在注册表 中。
注册表数据类型
注册表是一个数据库,其结构类似于磁盘卷的结构。注册表包含了键(key)和值( value)。键类似于磁盘的目录而值则好比是磁盘上的文件。键是一个容器可以包含其他的键子键或值。而值存储的是数据。最顶级的键是根键root key)。在本节中我们将相互交换着使用子键和键这两个词。
键和值两者都借用了文件系统的命名规范。因此可以用名称“trade\mark”唯一标识一个存储在名为“trade”的键下面的、名为“mark”的值。此命名方案的一个例外是每个键都有一个未命名的值。Regedit将未命名的值显示为“(默认)”。 注册表的值存储了不同种类的数据它们可以是表4.1中所列出的12种类型之一。大多数注册表值是REG_DWORD、REG_BINARY或REG_Sz。REG_DWORD类型的值可以存储整数或者布尔值开/关值);REG_BINARY值可以存储超过32位的整数值或者诸如加密后的口令之类的原始数据;REG_Sz值存储字符串当然是Unicode)可以表达诸如名称、文件名、路径和类型等元素。
REG_LINK类型特别值得注意因为它让一个键可以透明地指向另一个键。当你搜索注册表而碰到一个链接时路经搜索过程会在此链接的目标处继续进行。例如如果\Root1\Link是一个指向\Root2\RegKey的REG_LINK值并且RegKey包含了值RegValue那么可以有两条路径标识RegValue:\Root1\Link\RegValue和\Root2(RegKey\RegValue。正如下一小节将要解释的那样Windows自己也显式地使用了注册表链接:六个注册表根键中有三个其实是链接它们指向另三个非链接的根键中的子键。
注册表逻辑结构
利用注册表中存储的数据你可以画出注册表的组织结构。总共有6个根键你不能加入新的根键也不能删除已有的根键)可以存储信息如表4.2所示。 为什么根键的名称都以“H”开头?因为根键的名称代表了指向键(KEY)的Windows句柄(H)。正如第1章“”中所提及的那样HKLM是用于HKEY_LOCAL_MACHINE的缩写。表4.3列出了所有的根键以及它们的缩写。下面的几小节详细地解释了这六个根键中每一个根键的内容和用途。
HKEY_CURRENT_USER
HKCU根键包含了与当前本地登录用户的参数和软件配置有关的数据。它指向当前登录用户的用户轮廓位于硬盘上的\Users用户名\Ntuser.dat中要想知道根键是如何被映射到硬盘文件的请参见本章后面的“注册表的内部机理”一节)。无论何时当一个用户的轮廓信息被加载的时候比如在登录时候或者当一个服务进程运行在某个特定用户名的环境中时),HKCU就会被创建出来映射到HKEY_USERS下该用户的键上。表4.4列出了HKCU下面的一些子键。 HKEY_USERS
HKU为系统中每个加载的用户轮廓和用户类注册数据库包含了一个子键。它也包含一个名为HKU.DEFAULT的子键;这是一个链接指向该系统的轮廓(对于那些运行在本地系统账户下的进程它们会用到该轮廓信息;本章后面的“服务”一节中更加详细地讲述了有关该轮廓的信息)。譬如这是Winlogon使用的轮廓所以改变了该轮廓中的桌面背景设置就可以在登录屏幕上体现出来。当一个用户第一次登录到一个系统中并且她的账户不依赖于一个漫游域轮廓也就是说用户的轮廓是在域控制器的指示下从一个中心网络位置上获得的)的时候系统以%SystemDrive%\Users\Default下存放的轮廓为基础,为她的账户创建一个轮廓。 系统将这些轮廓存储在哪里呢?此位置是由注册表值HKLM\Software\Microsoft\WindowsNT\CurrentVersion\ProfileList\ProfilesDirectory来定义的其默认设置是%SystemDrive%\Users。ProfileList键也存放了一个系统上所有出现过的轮廓的列表。针对每个轮廓的信息存放在一个对应的子键下面其名称反映了该轮廓所对应账户的安全标识符(SIDSecurity ldentifier)(有关SID的更多信息参见第6章“安全性”)。在每个轮廓的键所存储的数据中sid值中存放的是该账户SID的二进制表示而在ProfilelmagePath目录中存放的则是该轮廓所对应的储巢( hive,参见本章后面的“储巢”一节中的介绍)的硬盘路径。Windows在用户轮廓管理对话框中显示了一个系统中存储的轮廓列表如图4.1所示。你只需在控制面板的System小程序的AdvancedSystem Settings中的Advanced标签视图的User Profiles部分单击Setting就可以看到该对话框。 实验观察轮廓加载和卸载
通过Runas命令用一个当前并未登录到机器上的账户来激发一个进程就可以看到一个轮廓先被加载到注册表中,然后又被卸载出去的过程。当新进程正在运行的时候,运行Regedit,你可在HKEY_USERS下注意到加载进来的轮廓键。在终止了此进程以后在Regedit中按一下FS键以便刷新视图此轮廓应该已经不在了。
HKEY_CLASSES_ROOT
HKCR包含了三种类型的信息:文件扩展名关联、COM类注册信息以及UAC(User AccountControl虚拟化注册表根。(关于UAC的更多信息请参见第6章。)针对每个已注册的文件扩展名都有一个对应的键。大多数键中包含一个REG_Sz值指向HKCR中的另一个键此键中包含了与该扩展名所代表的文件类相关联的信息。 例如HKCR.xls指向了在另一个键比如HKCU.xls\Excel.Sheet.8)中包含的有关MicrosoftExcel文件的信息。HKCR中其他的键包含了已注册到当前系统上的COM对象的详细配置信息。UAC虚拟化注册表位于VirtualStore键下它与HKCR中保存的其他种类的数据没有关系。
HKEY_CLASSES_ROOT下的数据有以下两个来源途径:
针对每个用户的类注册数据:位于HKCU\SOFTWARE\Classes下被映射至磁盘文件 \Usersusername\AppData\Local\Microsoft\Windows\Usrclass.dat)。整个系统范围的类注册数据:位于HKLM\SOFTWARE\Classes下。
针对每个用户的注册数据为什么要与系统全局范围的注册数据分开呢其原因在于这样做以后可漫游的轮廓就能够包含这些定制的用户数据。它同时也关闭了一个安全漏洞:非特权用户无法改变或者删除系统全局版本HKEY_CLAsSES_ROOT中的键因此也就无法影响到系统中应用程序的操作。非特权用户和应用程序可以读取系统全局范围的数据也可以在系统全局数据中增加新的键和值在它们的用户数据中这些键和值也被镜像过来了)但是它们只能修改其私有数据中已有的键和值。
HKEY_LOCAL_MACHINE
根键HKLM包含了所有系统全局范围的配置子键:BCDO0000000、COMPONENTS根据需要动态加载)、HARDWARE、SAM、SECURITY、SOFTWARE和SYSTEM。
HKLM\BCDO0000000子键包含了引导配置数据库BCD信息这是作为一个注册表储巢被加载进来的。该数据库代替了以前在Windows Vista以前使用的Boot.ini文件为每次安装Windows的引导配置数据增加了极大的灵活性和隔离性。(有关BCD的更多信息请参考本书下册第13章“启动和停机”。)
在BCD中的每一项比如一次安装的Windows或者针对这一次安装的命令行设置都保存在Objects子键下它或者是一个可通过GUID来引用的对象(针对引导项的情形)或者是一个称为元素element)的数值子键。这些原始元素绝大多数在MSDN Library的BCD参考材料部分有文档描述它们定义了各种命令行设置或者引导参数。与每个元素子键相关联的值对应于相应的命令行标记或者引导参数的值。
BCDEdit命令行工具使得你可以通过元素和对象的符号名称来修改BCD。它也提供了关于所有可用的引导选项的大量帮助信息;不幸的是它只能工作在本地系统环境中。因为注册表可以被远程打开也可以从储巢文件中导入进来所以你可以利用注册表编辑器来修改或读取一台远程计算机的BCD。下面的实验显示了你可以利用注册表编辑器来打开内核调试功能。
实验:离线方式或远程编辑BCD 子键HKLM\COMPONENTS包含的信息与CBS(Component Based Servicing,基于组件的服务)栈有关。此CBSs栈包含了各种文件和资源它们是Windows安装映像用于自动化的安装包或者OEM预安装包)的一部分或者是一次活动的Windows安装的一部分。为了服务目的而定义的CBS AP利用此注册表键中的信息来标识出已安装的组件和它们的配置信息。无论何时当单独地或者成组地安装、更新或者移除组件分别称为单元unit或包package)时这些信息都会被用到。因为该键可能会非常大所以为了优化系统资源如果CBs栈在服务一个请求时,它只是被动态地加载到系统中然后根据需要被卸载。
子键HKLM\HARDWARE维护了有关当前系统中的遗留硬件,以及一些从硬件设备至驱动程序的映射关系的描述信息。在现代系统上只有一些外设比如键盘、鼠标和ACPIBIOS数据有可能在这里能找得到。设备管理器工具(从控制面板中运行System小程序然后单击DeviceManager〉使你可以查看注册表硬件信息这些信息只是简单地从HARDWARE键中读取出来的值尽管它主要使用了HKLM\SYSTEM\CurrentControlSet\Enum树)。
HKLM\SAM存放了本地账户和组的信息比如用户口令、组定义和域关联信息。作为域控制器运行的Windows Server系统将域账户和组的信息存放在活动目录Active Directory)中。所谓活动目录是一个用于存放域范围的各种设置和信息的数据库本书并没有介绍活动目录)。在默认情况下SAM键上的安全描述符被配置成:即使管理员账户也不能访问。 HKLM\SECURITY存放了系统全局范围的安全策略和用户权限分配。HKLM\SAM被链接到HKLM\SECURITY\SAM下的SECURITY子键。在默认情况下你不能查看HKLM\SECURITY或者HKLM\SAM\SAM键的内容因为这些键的安全设置只允许System账户才能访问(本章后面将会极其详细地讨论System账户)。如果你想要检查这些键的话你可以改变此安全描述符以便允许管理员组中的用户可以读访问这些键或者你可以利用PsExec在本地系统账户中运行Regedit。然而仅仅看一眼这些数据是不会有多大用处的因为这些数据是没有文档说明的其中的口令已经通过一个单向映射关系加了密也就是说你是无法从加密形式得到一个口令的。
HKLM\SOFTWARE是Windows存储系统全局配置信息的地方这些配置信息在系统引导的时候并不需要。而且第三方应用程序也将它们的系统全局范围的设置存放在这里比如应用程序文件和目录的路径、授权许可信息和过期日期信息。 HKLM\SYSTEM包含了引导系统所需要的全局配置信息比如该加载哪些设备驱动程序、该启动哪些服务。因为这些信息对于启动系统是至关重要的所以Windows也在该键下维护了这份信息的一份拷贝称为“last known good control set最后已知的好控制集)”。由于维护了这样一份拷贝因此万一对当前控制集做了修改以后系统无法正常引导了管理员可以选择以前的一份正常工作的控制集。关于Windows何时声明当前控制集是“好”的更详细的信息请参见本章“接受当前引导和最后已知的好控制集”一节。
HKEY_CURRENT_CONFIG
HKEY_CURRENT_CONFIG只是一个链接指向HKLM\SYSTEM\CurrentControlSet\ HardwareProfiles\Current下的当前硬件轮廓。Windows不再支持硬件轮廓但是该键仍然存在以便支持那些遗留下来的、可能依赖于该键的应用程序。
HKEY_PERFORMANCE_DATA
在Windows上注册表也是访问性能计数器值的机制无论这些计数器是从操作系统组件中来的还是从服务器应用程序中来的。通过注册表来访问性能计数器一个额外的好处是远程性能监视工作几乎可以“免费”完成因为注册表很容易通过常规的注册表API就可以访问到。 只需打开一个名为HKEY_PERFORMANCE_DATA的特殊的键并且查询该键下面的值就可以直接访问注册表性能计数器信息。如果在注册表编辑器中查寻此键是无法找到的;这个键只能通过编程的方式利用Windows注册表函数例如RegQueryValueEx才可以访问到。性能信息实际上并没有存储在注册表中注册表函数利用该键来获得从性能数据提供者那里提供的信息。 也可以利用性能数据帮助器PDHPerformance Data Helper)API(Pdh.dIl中的性能数据帮助器函数来访问性能计数器信息。图4.2显示了在访问性能计数器信息过程中涉及的组件。
