Hi~ 我是李小咖，主要从事网络安全技术开发和研究。

本文取自《李小咖·网安技术库》，欢迎一起交流学习🫡：https://imbyter.com

---

注册表是Windows中自带的的一个数据库，用于存储系统和应用程序的设置信息。在Windows系统中，我们可以通过使用reg命令来管理、修改、导出和导入注册表的信息。

---

一、如何打开注册表

可以通过以下两种方式打开注册表编辑器：

1. 开始菜单搜索注册表编辑器：

   

2. “运行”对话框中输入regedit：

   

可以在注册表编辑器的UI中对注册表进行操作，也可以通过cmd中的reg命令来操作注册表。本节主要介绍如何通过cmd中的reg命令来操作注册表。

---

二、查看命令帮助

cmd中输入reg /?查看命令帮助：

D:\>reg /?

REG Operation [Parameter List]

  Operation  [ QUERY   | ADD    | DELETE  | COPY    |
               SAVE    | LOAD   | UNLOAD  | RESTORE |
               COMPARE | EXPORT | IMPORT  | FLAGS ]

返回代码: (除了 REG COMPARE)

  0 - 成功
  1 - 失败

要得到有关某个操作的帮助，请键入:

  REG Operation /?

例如:

  REG QUERY /?
  REG ADD /?
  REG DELETE /?
  REG COPY /?
  REG SAVE /?
  REG RESTORE /?
  REG LOAD /?
  REG UNLOAD /?
  REG COMPARE /?
  REG EXPORT /?
  REG IMPORT /?
  REG FLAGS /?

三、查看功能

命令：reg query

1. 使用说明

D:\>reg query /?

2. 查看注册表项内容

如下命令：

D:\>reg query HKLM

其中，HKLM 代表HKEY_LOCAL_MACHINE，是Windows系统中的一个核心注册表键。查询结果将显示出该键下的所有子键和值。

如果我们只想查询某一个特定的键值，可以指定键路径，例如：

# reg query 后直接跟路径
D:\>reg query HKCU\Software\Microsoft\Windows\CurrentVersion\Run

这条命令查询了 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 键下的所有子键和值。

3. 根键的缩写

注册表中包含五大根键，其对应缩写如下：

• HKEY_CURRENT_USER：HKCU

• HKEY_CLASSES_ROOT：HKCR

• HKEY_LOCAL_MACHINE：HKLM

• HKEY_USERS：HKU

• HKEY_CURRENT_CONFIG：HKCC

4. 递归查看

递归查看子项内容，加参数 /s：

# 递归查看子项，加参数 /s
D:\>reg query HKCU\Software\Microsoft\Windows\CurrentVersion /s

5. 查看键值

查看具体某项的键值，加参数 /v：

# 查看run启动项下的 ctfmon 的键值：
D:\>reg query HKCU\Software\Microsoft\Windows\CurrentVersion\run /v ctfmon

---

四、添加操作

命令：reg add

1. 在run启动项后添加子项：

   # 在run项中添加123这个子项：
   D:\>reg add HKCU\Software\Microsoft\Windows\CurrentVersion\run\123

2. 在子项123中添加一个键值对：

   # 在123这个子项下，添加一个键名为test，类型为字符串（REG_SZ），值为："This is a demo"的键值对：
   D:\>reg add HKCU\Software\Microsoft\Windows\CurrentVersion\run\123 /v test /t REG_SZ /d "This is a demo"

---

1. 删除操作

命令：reg delete

# 删除指定注册表项
D:\>reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\run\123

---

2. 复制操作

命令：reg copy

将指定的注册表项复制到另一个注册表项的位置。

# 将注册表项run下面的所有的值，拷贝到123下面
# 新注册表项的位置必须是已经存在的
D:\>reg copy    HKCU\Software\Microsoft\Windows\CurrentVersion\runHKCU\Software\Microsoft\Windows\CurrentVersion\run\123

---

3. 保存操作

命令：reg save

将指定的注册表项保存到本地磁盘的文件中，一般用hiv作为后缀。

# 将注册表项run下的所有值保存在本地123.hiv文件中
# 后缀习惯使用hiv，但非必须；操作时需要管理员权限
D:\>reg save HKCU\Software\Microsoft\Windows\CurrentVersion\run 123.hiv

---

4. 加载操作

命令：reg load

将save保存的注册表文件，还原到指定注册表位置上。

# 将注册表文件 123.hiv 恢复到 HKLM 根键下面：
# reg load 命令仅支持将指定的注册表文件恢复到 HKLM 或 HKU 两个住建下面
D:\>reg load HKLM\123 123.hiv

可以使用 reg unload 来解除通过 load 加载的注册表项

D:\>reg unload HKLM\123

---

5. 导出操作

命令：reg export

将指定的注册表项及其子项和值导出到指定文件中，一般以reg作为后缀。

# 将注册表项 run 导出到文件 123.reg 中
# 被导出的 123.reg 是以明文的形式存储注册表内容（可以直接用记事本打开查看）
D:\>reg export HKCU\Software\Microsoft\Windows\CurrentVersion\run 123.reg

reg文件可以直接双击运行，运行后的效果是将reg文件中的注册表信息还原（覆盖）到本机注册表对应位置

---

6. 导入操作

命令：reg import

将指定的注册表reg文件，还原（覆盖）到本机注册表对应的位置上。与直接对reg文件双击“运行”一个效果。

# 将123.reg文件中注册表设置的内容还原到本次注册表中
D:\>reg import 123.reg

---