【分享】【收集】注册表专题

bittermoon

前言
菜鸟如何才能成为高手？
引用某网友的一段话“首先我不是什么高手，大家都一样。至于什么样可以成为高手，我想首先是从繁多的资料堆里爬过来的人，能够很好的利用这些工具的人，谁也不可能记住这些，但是我想在使用时能找到合适的工具，也就具备了一个高手的资格了，我们大家在这里共同努力吧！”
希望大家把平时看到的好的有关注册表的帖子都跟在下面，让大家一起分享，也让原创作者的心血可以发挥更多作用。
若所选帖子为您的原创，请主动联系斑竹或要求删除。
[size=-2]请勿灌水

[ Last edited by bittermoon on 2005-5-24 at 20:06 ]

bittermoon

注册表的由来

PC机及其操作系统的一个特点就是允许用户按照自己的要求对计算机系统的硬件和软件进行各种各样的配置。早期的图形操作系统，如Win3.x中，对软硬件工作环境的配置是通过对扩展名为.ini的文件进行修改来完成的，但INI文件管理起来很不方便，因为每种设备或应用程序都得有自己的INI文件，并且在网络上难以实现远程访问。
    为了克服上述这些问题，在Windows 95及其后继版本中，采用了一种叫做“注册表”的数据库来统一进行管理，将各种信息资源集中起来并存储各种配置信息。按照这一原则，Windows各版本中都采用了将应用程序和计算机系统全部配置信息容纳在一起的注册表，用来管理应用程序和文件的关联、硬件设备说明、状态属性以及各种状态信息和数据等。
与INI文件不同的是：
    1.注册表采用了二进制形式登录数据；
    2.注册表支持子键，各级子关键字都有自己的“键值”；
    3.注册表中的键值项可以包含可执行代码，而不是简单的字串；
    4.在同一台计算机上，注册表可以存储多个用户的特性。
注册表的特点有：
    1.注册表允许对硬件、系统参数、应用程序和设备驱动程序进行跟踪配置，这使得修改某些设置后不用重新启动成为可能。
    2.注册表中登录的硬件部分数据可以支持高版本Windows的即插即用特性。当Windows检测到机器上的新设备时，就把有关数据保存到注册表  中，另外，还可以避免新设备与原有设备之间的资源冲突。
    3.管理人员和用户通过注册表可以在网络上检查系统的配置和设置，使得远程管理得以实现。
    我们在前面已经详细介绍了注册表的由来与基本结构。发现注册表比较复杂，但又安排得非常有条理，能有效地提高工作效率，为系统的维护提供了必要条件。由于注册表是一个二进制的配置数据库文件（Windows的命根子），因而，用户无法直接存取注册表。为了让高级用户能够编辑注册表,Windows2000 提供了注册表编辑器“c”和“Regedt32”。对这种只使用Windows提供的注册表编辑器进行编辑的操作。
    编辑器在安装Windows时已经被安装到硬盘中了，但是并未在“附件”程序组中建有快捷方式。用户如果需要使用注册表编辑器，可以在“运行”对话框内输入Regedt32或Regedit即可打开注册表编辑器。或者在“命令提示符”中执行Regedt32.exe也可以进入注册表编辑器。

bittermoon

注册表介绍
注册表是什么
　　Windows的注册表(Registry)实质上是一个庞大的数据库，它存储这下面这些内容：
　　软、硬件的有关配置和状态信息，应用程序和资源管理器外壳的初始条件、首选项和卸载数据；
　　计算机的整个系统的设置和各种许可，文件扩展名与应用程序的关联， 硬件的描述、状态和属性；
　　计算机性能纪录和底层的系统状态信息，以及各类其他数据。
注册表的结构
　　在Windows中，注册表由两个文件组成：System.dat和User.dat，保存在windows所在的文件夹中。它们是由二进制数据组成。System.dat包含系统硬件和软件的设置，User.dat保存着与用户有关的信息，例如资源管理器的设置，颜色方案以及网络口令等等。
　　Windows为我们提供了一个注册表编辑器(Regedit.exe)的工具，它可以用来查看和维护注册表。
注册表编辑器与资源管理器的界面相似。左边窗格中，由"我的电脑"开始，以下是六个分支，每个分之名都以HKEY开头，称为主键(KEY)，展开后可以看到主键还包含次级主键(SubKEY)。当单击某一主键或次主键时，右边窗格中显示的是所选主键内包含的一个或多个键值(value)。键值由键值名称(value Name)和数据(value Data)组成。主键中可以包含多级的次级主键，注册表中的信息就是按照多级的层次结构组织的。每个分支中保存计算机软件或应建设之中某一方面的信息与数据。
　　注册表中格分支的功能如下：
HKEY-CLASSES-ROOT 　文件扩展名与应用的关联及OLE信息
HKEY-CURRENT-USER 　当前登录用户控制面板选项和桌面等的设置，以及映射的网络驱动器
HKEY-LOCAL-MACHINE　计算机硬件与应用程序信息
HKEY-USERS 　　　　 所有登录用户的信息
HKEY-CURRENT-CONFIG 计算机硬件配置信息
HKEY-DYN-DATA 　　　即插即用和系统性能的动态信息  

注册表中的键值项数据
　　注册表通过键和子键来管理各种信息。但是注册表中的所有信息都是以各种形式的键值项数据保存的。在注册表编辑器右窗格中显示的都是键值项数据。这些键值项数据可以分为三种类型：
　　1.字符串值
　　在注册表中，字符串值一般用来表示文件的描述和硬件的标识。通常由字母和数字组成，也可以是汉字，最大长度不能超过255个字符。在本站中以"a"="***"表示。
　　2.二进制值
　　在注册表中二进制值是没有长度限制的，可以是任意字节长。在注册表编辑器中，二进制以十六进制的方式表示。在本站中以"a"=hex:01,00,00,00方式表示。
　　3.DWORD值
　　DWORD值是一个32位(4个字节)的数值。在注册表编辑器中也是以十六进制的方式表示。在本站中以"a"=dword:00000001表示。

注册表的备份与恢复
　　如果注册表遭到破坏，Windows将不能正常运行，为了确保Windows系统安全， 我们必须经常的备份注册表。
　　Windows每次正常启动时，都会对注册表进行备份，System.dat备份为System.da0， User.dat备份为User.da0。它们存放在Windows所在的文件夹中，属性为系统和隐藏。
　　以下为2种备份注册表的方法：
　　1，利用Windows中的注册表编辑器(Regedit.exe)进行备份
　　运行Regedit.exe，单击“文件“-->“导出注册表文件“命令，选择保存的路径，保存的文件为*.reg， 可以用任何文本编辑器进行编辑。
　　2，利用Win95光盘上Other\Misc\ERU\ERU.EXE紧急事故恢复工具(Emergency Recovery Utility)。利用这个工具不但可以备份和恢复注册表，还可以备份硬盘中的任何文件。
　　恢复：
　　当注册表损坏时，启动时Windows会自动用System.dat和User.dat的备份System.da0和User.da0进行恢复工作，如果不能自动恢复，可以运行Regedit.exe（它可以运行在在Windows下或DOS下），导入.reg备份文件。也可以运行ERU.EXE进行恢复。
　　如果您没有进行备份或者注册表损坏的非常严重，那么您可以试试最后一着：在c:\下有一个System.1st文件，属性为隐藏和只读，它记录着安装 Windows时的计算机硬件软件信息，用这个文件覆盖System.dat。但是这样的话您安装的应用软件可能会无法运行，必须重新安装。

注册表修改方法
　　通过修改注册表我们可以实现一些特殊的功能，但是注册表又是十分脆弱的，一个不小心就会出现错误。那么我们怎么样来修改注册表呢？我总结为以下几种方法：
　　1.软件修改(安全)
　　通过一些专门的修改工具来修改注册表，比如：MagicSet、TweakUI、WinHacker等等。其实控制面板就是一个这样的工具，只不过功能简单一些。
　　2.间接修改(比较安全)
　　将要修改的写入一个.reg文件中，然后导入注册表中。.reg文件的基本格式为：
REGEDIT4
[HKEY_LOCAL_MACHINE\Software\Super Rabbit\MagicSet]
"@"="Super Rabbit Magic Set For Windows 98 V2.92"
"a"=dword:00000001
"b"=hex:02,05,00,00
……
[HKEY_LOCAL_MACHINE\Software\SCC\QuickViewer]
……
　　第一行为“REGEDIT4”，必须大写。
　　第二行为空行。
　　第三行使用[]括起子键分支，其中HKEY_LOCAL_MACHINE\Software\Super Rabbit\MagicSet就是一个子键分支。
　　第四、五、六行是该子键下的设置数据。其中@表示注册表编辑器右窗格中的"默认"键。
　　以下类似。
　　这样做的好处是可以避免错误的写入或删除等操作，但是要求用户了解注册表的内部结构和.reg文件的格式。
　　3.直接修改(最不安全，但最直接有效)
　　就是通过注册表编辑器直接的来修改注册表的键值数据项，这样做会避免在注册表中留下垃圾(虽然都很小，但越来越多会拖慢系统速度)，但是要求用户有一定的注册表知识，熟悉注册表内部结构而且一定要小心谨慎。

bittermoon

注册表的数据结构
   使用注册表编辑器之前，首先得了解注册表的数据结构，例如注册表的显示方式、主键与子键、键值项数据的类型等等。

注册表显示方式
    在Windows系统中，注册表是采用“关键字”及其“键值”来描述登录项及其数据的。所有的关键字都是以“HKEY”作为前缀开头。实际上，“关键字” 是一个句柄。这种约定使得系统及应用程序的开发人员，可以在使用注册表中的API函数时把它用于应用程序的开发中。为此，Windows提供了若干API 函数，以便在开发 for Windows 应用程序时添加、修改、查询和删除注册表的登录项。
    在注册表中，关键字可以分为两类：一类是由系统定义的，一般都称为“预定义关键字”；另一类是由应用程序定义的，由于安装的应用软件不同，其登录项也就不同。在Windows系统中，打开注册表编辑器，可以看到注册表中的关键字。
　  注册表通过主关键字（最上层的为“根键”，例如：HKEY_CURRENT_USERS就是一个根键，标题栏上也有显示）和子键来管理各种信息，下图中的 “Keyboard Layout”是一个主键，展开后就可以看到它里面的子键。注册表中的所有信息是以各种形式的“键值项数据”保存下来，如下图中的键值项Attributes的数据为“REG_DWORD:0”。其中“REG_DWORD”是该键值的数据类型；“0”是代表该键值被赋予的数值。
　　在注册表的左边窗口中，所有的数据都是通过一种树状结构，以键和子键的方式组织起来，十分类似于资源管理器内的目录结构。每个键都包含有一组特定的信息，每个键的键名都是与它所包含的信息相关的（注册表内是以英文的方式出现，比如‘Control Panel’表示的是控制面板内的一些内容）。
　　如果这个键包含子键，则在注册表编辑器窗口的左边出现一个“＋”号，用来表示在这个文件夹内还有好多内容。如果这个文件夹被用户打开了，那么“＋”号就变为“－”号，与我们使用资源管理器的方法是一样的。

注册表中的“键值数据项”的类型
　　在注册表中，“键值项数据”可分为下面三种类型。
二进制(BINARY)
　　在注册表中，二进制是没有长度限制的，可以是任意个字节的长度。在注册表编辑器中，二进制数据以十六进制的方式显示出来，如： “CustomColors”的键值就是一个二进制数据，双击键值名，出现“编辑二进制数值”对话框，我们可以在二进制和十六进制之间进行切换。
　　DWORD值(DWORD)
　　DWORD值是一个32位（4个字节，即双字）长度的数值。在注册表编辑器中，你将会发现系统以十六进制的方式显示DWORD值，在编辑DWORD数值时，可以选择用二进制、十进制或是十六进制的方式进行输入。
字符串值(SZ)
　　在注册表中，字符串值一般用来表示文件的描述、硬件的标识等。通常它由字母和数字组成。下图文本输入栏中的内容即为一个键值，它是一种字符串值类型。通过键值名、键值就可以组成一种键值项数据，这就相当于Win.ini、System.ini文件中小节下的设置行。其实，使用注册表编辑器将这些键值项数据导出后，其形式与.ini文件中的设置完全一样。
注册表数据类型
　　注册表的键中包含着各种不同格式的数据。数据类型可以这样来分类：
　　通用数据类型－－RegEdit、RegEdt32及其它绝大多数注册表工具都支持，并能够对之进行编辑的数据类型。
　　Windows NT 专用数据类型－－RegEdt32和另外几个注册表工具支持，并能够对其进行编辑的数据类型。
　　组件／应用程序专用的特殊数据类型－－注册表工具支持这些数据类型，但是对于程序而言是有限度的。
　　用户则只能将其作为二进制数进行编辑。
　　实际上，注册表工具也可以对不支持的数据类型进行编辑，包括那些显示为REG_UNKNOWN类型的数据。但是编辑仅能在二进制模式下进行，这就需要用户对数据对象的格式非常了解。对于那些需要手工修改注册表的用户来说，理解每一种数据类型以及每一种类型数据的存储格式是非常重要的。

现有注册表数据类型
　类 型　　　　类型索引　　　大 小　　　　　　说 明

REG_BINARY　　　3　　　0~多个字节　　可以包含任何数据的二进制对象颜色描述

REG_COLOR_RGB　*　　　4字节　　　　　颜色描述

REG_DWORD　　　4　　　4字节　　　　　DWORD值

REG_DWORD_BIG_ENDIAN　5　4字节　　　一个DWORD值的逆序存储形式

REG_DWORD_LITTLE_ENDIAN　4　4字节　　DWORD值

REG_EXPAND_SZ　　　2　　　0~多个字节　包含环境变量占位符的字符串

REG_FILE_NAME　　*　　　　 0~多个字节　文件名

REG_FILE_TIME　　　*　　　　未知　　　　文件时间

REG_FULL_RESOURCE_DESCRIPTOR　9　未知　硬件资源列表

REG_LINK　　　6　　　　　　0~多个字节　命名一个符号链接(symbolic link)的Unicode串

REG_MULTI_SZ　7　0~多个字节　以null字符分隔的字符串集合，集合中的最后一个字符串以两个null字符结尾

REG_NONE　0　未知　REG_NONE类型的对象无须分类，它与REG_UNKNOWN类型不同

REG_RESOURCE_LIST　8　未知　设备使用的资源列表

REG_RESOURCE_REQUIREMENTS_LIST　 10　 未知　　 驱动程序要求的资源列表

REG_SZ　　 1　　 0~多个字节　以一个null字符线的字符串

REG_UNKNOWN　 （未定义）　未知　 因为数据类型索引无效而无法确定的对象类型

bittermoon

注册表根键HKEY_LOCAL_MACHIN
HKEY_LOCAL_MACHIN根键中存放的是用来控制系统和软件的设置。由于这些设置是针对那些使用Windows系统的用户而设置的，所以它与具体用户无关，它是一个公共配置信息，大家只须作一个了解就可以了。
　　HKEY_LOCAL_MACHINE包括了如下五个子键：
HARDWARE子键：
　　该子键下面存放一些有关超文本终端、数学协处理器和串口等信息。HARDWARE子键下面包括两个子键DEVICEMAP（用于存放设备映象）、DESCRIPTION（存放有关系统信息）。DEVICEMAP子键的层次结构如下:
HKEY_LOCAL_MACHINE\HARDWARE
HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP
HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\SERIALCOMM
　　在HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\SERIALCOMM分支下面包括如下设置内容：
*COM1=COM1：指定COM1端口。
*COM2=COM2：指定COM2端口。
　DESCRIPTION子键的层次结构如下：
HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION
HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System
HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\FloatingPointProcessor
HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\FloatingPointProcessor\0
*SAM子键：系统自动将其保护起来。
*SECURITY子键：包含了安全设置的信息，同样也让系统保护起来。
*SOFTWARE子键：包含了系统软件、当前安装的应用软件及用户的有关信息。
*SYSTEM子键：
　　该子键存放的是启动时所使用的信息和修复系统时所需的信息，其中包括各个驱动程序的描述信息和配置信息等。System子键下面只有一个 CurrentControlSet子键，系统在这个子键下保存了当前的驱动程序控制集的信息。这里介绍CurrentControlSet子键下面的 Control和Services子键。
Control子键
　　这个子键中保存的是由控制面板中各个图标程序设置的信息。由于控制面板中的各个图标程序可能会把信息写在不同的子键下，所以用户最好不要通过注册表编辑器来修改这些信息，否则容易引起系统死机。
(1) fontassoc子键
　　该子键存放的是有关字体设置信息（如缺省字体、替代字体以及字符集等）。在
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ fontassoc分支下还有两个子键Associated DefaultFonts、Associated CharSet。
　Associated DefaultFonts子键
　　在HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\
fontassoc\Associated DefaultFonts分支下有如下设置信息：
*AssocSystemFont=simsun.ttf：定义系统字体。simsun.ttf为TrueType宋体字库文件。
*FontPackageDontCare=宋体：以下行设置了已安装的套装字体（FontPackage），在
Win3.x中，这些设置在Wifeman.ini文件的[FontPackages]小节中列出。
*FontPackageRoman=宋体
*FontPackageSwiss=宋体
*FontPackageModern=宋体
*FontPackageScript=宋体
*FontPackageDecorative=宋体 Associated CharSet子键 在
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ fontassoc\Associated
CharSet分支下是关于一些系统字体的设置。
(2) Nls子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ Nls分支中，它是用来设置Windows的语言特性，如代码页、EUDC内码范围、语言分类等。
(3) SessionManager子键
　　该子键用于管理系统的会话，它包括三个主键和八个子键。
KnownDLLs子键
　　该子键下包含了Windows中32位Dll文件以及标识。
　CheckBadApps子键
　　该子键用于检查有问题的16位应用程序，这些应用程序在Windows中运行会出现莫名其妙的问题，甚至引起系统的崩溃。该子键下面有许多应用程序的可执行文件的子键，如PPower.exe是MS DOS 6.x一个用于便携机电源管理的程序，它在注册表中的分支是  HKEY_LOCAL_MACHINE\System\ CurrentControlSet\control\SessionManager\CheckBadApps \ POWER.EXE。
通常这个分支下有几个子键！
　CheckBadApps400子键
　　该子键用于检查有问题的32位应用程序，它在注册表的分支是
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\
SessionManager\CheckBadApps400。
　　该分支下面有许多应用程序的子键，这些子键有这些应用程序的相应运行设置，例如，
UltraEdit32是一个32位的多功能编辑器，其可执行文件为Ui32.exe，它在注册表的分支是HKEY_LOCAL_MACHINE\ System\ CurrentControlSet\control\SessionManager\CheckBadApps400
\ UE32.EXE。在该分支下面有Ui32.exe的运行设置（包括可执行文件Ui32.exe本身的检查标志、版本检查标志以及其标志位等）。
　AppPatches子键
　　该子键用于应用程序的补丁，使这些应用程序能够很好地运行在Windows中。在
Windows 3.x时
代，这些补丁是放在Win.ini文件中。该子键位于注册表的HKEY_LOCAL_MACHINE\System
\CurrentControlSet\ control\SessionManager\AppPatches分支上。在该分支下面有许多应用程序的子键及其设置内容。例如，在该分支下有一个Setup的应用程序，其位置是
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\
SessionManager\AppPatches\SETUP。
(4) MediaResources子键
　　该子键用于设置多媒体资源，其位置在HKEY_LOCAL_MACHINE\System\
CurrentControlSet\control\MediaResources分支上。该分支下还包括DirectSound、
Joystick、MIDINonGeneralMIDIDriverList子键及其设置。
(5)MediaProperties子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ Media-
Properties
分支上，用于设置多媒体的属性。
(6)FileSystem子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ FileSystem
分支上，主要对Windows的NTFS及Win31、Win9.x文件系统进行设置。
(7) Shutdown子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ Shutdown分支上，用于对Windows关机时的设置，一般里面有一个快速关机的设置。
(8)keyboard layouts子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ keyboard layouts
分支上，主要对Windows的键盘布局（Keyboard Layouts）或者键盘语言进行设置。该子键下面包括多个关于键盘语言（也包括汉字输入法）的子键，这些子键使用数值表示出来。
(9) Update子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ Update分支上，用于确定“控制面板”窗口是否被刷新，此子键的功能与“控制面板”窗口中的“查看”菜单中的“刷新”相同。
(10) TimeZoneInformation子键
该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\
TimeZoneInformation分支上，用于设置时区信息。
(11) Print子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ Print分支上，用于设置打印机。
(12)IDConfigDB子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ IDConfigDB
分支上，用于显示硬件配置文件的配置数据、配置名称等其他信息。
(13)ComputerName子键
　　该子键下面具有如下分层结构：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\
ComputerName\ActiveComputerName
HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\ ComputerName\ComputerName
　　该分层结构用于设置计算机名称。
(14)SecurityProviders子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\control\
SecurityProviders分支上，用于设置网络供应商的安全功能。
Services子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services分支上。该子键中存放了 Windows中各项服务的信息，有些是自带的，有些是随后安装的。在该子键下面的每个子键中存放相应服务的配置和描述信息。
(1) Class子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\Class分支上。该子键中保存的是Windows支持的不同种类硬件的信息，它下面的子键与“控制面板”中添加新硬件的分类类似。 下面简单介绍几种硬件分类子键。
　　① 1394子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services \Class1394，用于配置满足IEEE 1394规范的“1394总线控制器”。 * @=1394 总线控制器：指定1394子键的描述名称。
* Icon=-21：指定图标标识。
* Link={6BDD1FC1-810F-11D0-BEC7-08002BE2092F：指定“1394总线控制器”的连接。该连接将在{6BDD1FC1-810F-11D0-BEC7-08002BE2092F子键中定义。
　　 ② {6BDD1FC1-810F-11D0-BEC7-08002BE2092F}子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\Class\  {6BDD1FC1-810F-11D0-BEC7-08002BE2092F}分支上，用于配置“1394总线控制器”的连接。
*Link=1394：指定连接为“1394”。
*Class=1394：指定“1394总线控制器”类为“1394”。
　　③Adapter子键
该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\Class\Adapter
分支上，用于配置“CD-ROM 控制器”。
*@=CD-ROM 控制器：指定该子键的描述名称。
*Icon=-9：指定图标标识。
*Link={4d36e964-e325-11ce-bfc1-08002be10318}：指定“CD-ROM 控制器”的连接，由{4d36e964-e325-11ce-bfc1-08002be10318}子键进一步地定义。
　 ④{4d36e964-e325-11ce-bfc1-08002be10318}子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\Class\  {4d36e964-e325-11ce-bfc1-08002be10318}分支上，用于配置“CD-ROM 控制器”的连接。
*Link=Adapter：指定连接为“Adapter”。
*Class=Adapter：指定类为“Adapter”。
　　⑤Printer子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Class\Printer分支上，用于配置“打印机”。
*@=打印机：指定该子键的描述名称。
*Installer=MSPRINT.DLL：指定“打印机”的安装程序为“MSPRINT.DLL”。
*Icon=-4：指定图标标识。
*NoDisplayClass=1：确定是否显示类。若为1，则不显示类。若为0，则显示类。
*Link={4d36e979-e325-11ce-bfc1-08002be10318}：指定“打印机”的连接。
　　⑥ MEDIA子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\Class
\MEDIA分支上，用于配置多媒体设备，包括声音卡、视频卡和游戏控制器等。
*@=声音、视频和游戏控制器：指定该子键的描述。
*Link={4d36e96c-e325-11ce-bfc1-08002be10318：指定“多媒体”的连接，
　参见{4d36e96c-e325-11ce-bfc1-08002be10318}子键。
*Icon=0：指定图标标识。
*Installer=mmci.dll：指定“多媒体”设备的安装程序为“MMCI.DLL”。
(2) VxD子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\VxD分支上。该子键保存了Windows中所有虚拟设备驱动程序的信息。由于Windows系统能够自动管理这些信息，因此，在通常情况下最好不要通过注册表编辑器来修改这些信息，但是了解此子键下的信息是有好处的，因为有一些功能（如拨号网络提速）必须修改此子键下的信息。
　　① Winsock子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\Winsock分支上，用于设置WinSock。 *IrSockets=wsirda.vxd：指定
Winsock的虚拟驱动程序为wsirda.vxd。
　　② VNETSUP子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\VNETSUP分支上，用于设置网络的标识以及初始化数值。
*ComputerName=caogjwj：计算机名称。
*Workgroup=cgj：工作组名字。
*Comment=CAO GUO JUN：计算机描述。
*StaticVxD=vnetsup.vxd：静态虚拟设备驱动程序为vnetsup.vxd。
*Start=hex:00：设置初始化数值。
*NetClean=hex:01：确定是否清理网络。若为01，则清理网络。若为00，则不清理网络。
*MaintainServerList=2：设置浏览主控服务器的属性值。
*LMAnnounce=0：设置LM广播（LMAnnounce）属性值。
　　为了进一步地配置网络服务，在Ndi子键下面将有如下子键结构：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\ VNETSUP\Ndi
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\ VNETSUP\Ndi\params
params子键用于进一步地设置浏览主控服务器、LM广播的属性值。
a.MaintainServerList子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\VxD
\VNETSUP\Ndi\params\MaintainServerList分支上，用于设置浏览主控服务器的属性值。在Windows中，浏览服务是由一个浏览主控服务器和一个浏览备份服务器来管理浏览列表。您可以使用net view命令来获得浏览主控服务器的机器列表。
*default=2：缺省属性值为2。
*ParamDesc=浏览主控服务器：属性描述。
*type=enum：属性值类型为枚举型。
*@=2：缺省值为2。
　　以上枚举型由enum子键定义。enum位于
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\VNETSUP\Ndiparams\MaintainServerList\enum分支上。
*2=自动：使用“自动”选项，则系统将允许该终端变成一个合格的浏览主控服务器。
*1=启用：使用“启用”选项，则系统将允许该工作站将成为浏览主控服务器。
*0=禁用：使用“禁用”选项，则系统将使此机器不可能成为浏览主控服务器。
　b.LMAnnounce子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\VNETSUP\Ndi\params\LMAnnounce分支上，用于设置LM广播的属性值。LM广播设置用于LAN Manager网络
环境，它要求每个工作站必须向网络上的其他工作站广播自己的存在。
*default=0：缺省属性值为0。
*ParamDesc=LM 广播：属性描述。
*type=enum：属性类型为枚举型。
*@=0：缺省值为0。
　　枚举型是由enum子键定义的。enum位于HKEY_LOCAL_MACHINE\System\
CurrentControlSet\Services\VxD\VNETSUP\Ndi\params\LMAnnounce\ enum分支上。
*1=是：使用“是”选项，则LAN Manager就会开始广播，这会增加用户的网络冲突。
*0=否：如果在用户的网络环境中不需要LM广播性能,则选择“否”选项。
　③ NDIS子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\VxD\NDIS分支上，用于设置NIDS。
*Start=hex:00：初始化值为00。
*NetClean=hex:01：确定是否清理网络。
*StaticVxD=ndis.vxd,ndis2sup.vxd：静态虚拟设备驱动程序为ndis.vxd、ndis2sup.
vxd。*DeviceVxDs=ndiswmi.sys：NIDS的设备驱动程序为ndiswmi.sys。
　④ JAVASUP子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\JAVASUP分支上，用于设置JAVASUP（Java服务）。
*Start=hex:00：初始化值为00。
*StaticVxD=JAVASUP.VXD：静态虚拟设备驱动程序为JAVASUP.VXD。
　⑤ CONFIGMG子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\CONFIGMG分支上，用于所有系统设备的管理。
*StaticVxD=*CONFIGMG：静态虚拟设备驱动程序为*CONFIGMG。
*Start=hex:00：初始化值为00。
*SysDM=SYSDM.CPL：由SYSDM.CPL启动系统设备管理器。
*SysDMFunc=DMSetupDevnode：由DMSetupDevnode启动系统设备管理器功能。
*Detect=SYSDM.CPL：由SYSDM.CPL自动检测系统设备。
*DetectFunc=DMRedetect：由DMRedetect启动自动检测功能。
*Private=SYSDM.CPL：由SYSDM.CPL启动私有设备管理器。
*PrivateFunc=DMPrivateProblem：由DMPrivateProblem启动私有设备管理器功能。
*RemoveRomOkay=SYSDM.CPL：由SYSDM.CPL确定ROM中内容删除是否成功。
*RemoveRomOkayFunc=DMRemoveRomOkay：由DMRemoveRomOkay启动ROM删除功能。
*AskForConfig=SYSDM.CPL：使用SYSDM.CPL查询系统设备的设置。*AskForConfigFunc=
DMAskForConfig：由DMAskForConfig启动系统设备的查询功能。
*AskForUndock=SYSDM.CPL：使用SYSDM.CPL查询设备出坞情况。
*AskForUndockFunc=DMAskForUndock：由DMAskForUndock启动设备出坞查询功能。
　　在CONIFGMG子键下面还有两个子键，用于设置系统总线。
　a.SpannableBus子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\CONFIGMG\SpannableBus分支上，用于设置可扩展的总线（Spannable Bus）的个数。
*PCI=hex:00：设置可扩展的PCI总线个数。
*ISAPNP=hex:00：设置可扩展的即插即用ISA总线的个数。
　b.PnPBus子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\CONFIGMG
\PnPBus分支上，用于设置即插即用总线（PnP Bus）的个数。
*PCI=hex:00：设置PCI总线的个数。
*BIOS=hex:00：设置BIOS总线的个数。
*EISA=hex:00：设置EISA总线的个数。
*USB=hex:00：设置USB总线的个数。
*HID=hex:00：设置HID总线的个数。
*1394=hex:00：设置1394总线的个数。
*ISAPNP=hex:00：设置ISAPNP总线的个数。
*MF=hex:00：设置MF总线的个数。
*ACPI=hex:00：设置ACPI总线的个数。
　⑥ NTKern子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\NTKern分支上，用于设置NTKern。
*StaticVxD=*NTKERN：静态虚拟驱动程序为*NTKERN。
*Start=hex:00：设置初始化数值。
(3) WinSock子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\Winsock分支上，存放的是当系统连接Internet时使用的WinSock的信息。 在该子键下面有如下两个子键：
　 ① Autodial子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Winsock\Autodial分支上，用于设置Autodial（自动拨号）。
*AutodialDllName32=wininet.dll：启动自动拨号功能的32位DLL驱动程序为wininet.
dll
*AutodialFcnName32=InternetAutodialCallback：设置自动拨号的回调功能。
　 ② Parameters子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Winsock\Parameters分支上，用于设置WinSock参数。
* MSTCP=：使用HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\VxD\MSTCP\Parameters\Winsock分支中的参数设置WinSock。
(4) WDMFS子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\WDMFS分支上，用于设置WDMFS（WDM文件系统）。
*ImagePath=\\SystemRoot\\System32\\Drivers\\wdmfs.sys：WDMFS驱动程序为wdmfs.sys。
*ErrorControl=hex:01,00,00,00：设置错误控制码。
*Start=hex:00：设置初始化数值。
*Type=hex:01,00,00,00：设置WDMFS的类型。
*DisplayName=WDM Windows File System Mapper：显示WDMFS的名称。
(5) UPDATE子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\UPDATE分支上，用于设置UPDATE（更新服务）。
*ImagePath=\\SystemRoot\\System32\\Drivers\\update.sys：UPDATE服务的驱动程序为update.sys。
*ErrorControl=hex:01,00,00,00：设置错误控制码。
*Start=hex:00：设置初始化数值。
*Type=hex:01,00,00,00：设置UPDATE服务的类型。
*DisplayName=Intel Update Driver：UPDATE服务的显示名称。
(6) RemoteAccess子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ ServicesRemoteAccess分支上，存放的是和Windows拨号网络有关的信息。
*Version=1.2c：版本号。
*Remote Connection=hex:00,00,00,00：设置远程连接。 在该子键下面有如下两个子键：
　① Authentication子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services
\RemoteAccess\Authentication分支上，用于设置拨号网络的验证信息（如服务器类型、协议等）。
　② NetworkProvider子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services RemoteAccess\NetworkProvider分支上，用于设置拨号网络的驱动程序。
(7) MSNP32子键
　　该子键具有如下子键结构：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\MSNP32
　　HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\MSNP32
\NetworkProvider NetworkProvider子键用于保存Microsoft网络用户的验证信息。
*GroupFcn=GROUPPOL.DLL,NTGetUserGroups：由GROUPPOL.DLL、NTGetUserGroups设置组功能。
*AuthenticatingAgent=：设置验证代理。若为空，则使用缺省的验证代理。
*LogonDisconnected=hex:00,00,00,00：设置登录断开标志。
*Name=Microsoft Network：设置名称。
*ProviderPath=msnp32.dll：“Microsoft网络用户”的驱动程序为msnp32.dll。
*Description=Microsoft Network：设置“Microsoft网络用户”的描述。
*NetID=hex:00,00,01,00：网络标识号。
*CallOrder=hex:00,00,00,40：设置调用顺序。
(8) NWNP32子键
　　该子键下面具有如下子键结构：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NWNP32
　　HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NWNP32
\NetworkProvider NetworkProvider子键中存放的是Microsoft网络用户针对Netware网络时的验证信息。
*GroupFcn=GROUPPOL.DLL,NWGetUserGroups:由GROUPPOL.DLL、NWGetUserGroups设置组功能。
(9) Arbitrators子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Arbitrators
分支上。该子键中保存的信息是用来解决不同的设备间资源冲突的问题，它的四个子键中分别保存了内存区域、DMA、I/O端口和中断的信息。
　① IRQArb子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Arbitrators
\IRQArb分支上，主要用于保存保留的中断信息。
　② DMAArb子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Arbitrators
\DMAArb分支上，主要用于保存保留的DMA信息。
　③ AddrArb子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Arbitrators
\AddrArb分支上，用于保存保留的内存区域列表。
　④ IOArb子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Arbitrators
\IOArb分支上，用于保存保留的I/O端口列表。
(10) WinSock2子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\WinSock2
分支上，用于存放与Internet连接时WinSock 2.0版本的有关信息。
　① Parameters子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\WinSock2
\Parameters分支上，用于存放WinSock 2.0版的有关参数，如注册版本号、协议目录、名字空间目录等。
　 ② Providers子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\WinSock2
\Providers分支上，用于存放WinSock 2.0的提供商信息。在该子键下面还提供了一个
INET子键，用于存放提供商名称。
(11) wdmaud子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\wdmaud分支上，
用于存放WDM Audio（WDM音频）信息。
*Group=Base：设置WDM Audio所属组（基组）。
*ImagePath=\\SystemRoot\\system32\\drivers\\wdmaud.sys：WDM Audio驱动程序为
wdmaud.sys。
*Start=hex:03,00,00,00：设置初始化值。
*Type=hex:01,00,00,00：设置类型值。
*ErrorControl=hex:01,00,00,00：设置错误控制代码。 类似于wdmaud子键设置的还有
redbook、sbemul、swmidi等子键。
(12) NPSTUB子键
　　该子键具有如下子键结构：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NPSTUB
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\NPSTUB\NetworkProviderNetworkProvider子键用于存放“Microsoft友好登录”的有关信息。
*Name=Microsoft 友好登录：名称。
*ProviderPath=ienpstub.dll：32位保护模式驱动程序为ienpstub.dll。
*RealDLL=mslocusr.dll：实模式DLL驱动程序为mslocusr.dll。
*Description=Microsoft 友好登录：描述。
*NetID=hex:00,00,01,00：设置网络标识。
*CallOrder=hex:00,00,00,40：设置调用顺序。 （13) ProtectedStorage子键
　　该子键位于HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\ProtectedStorage分支上，用于存放ProtectedStorage（受保护的系统存储）信息。
　　在该子键下面有一个Parameters子键，它位于HKEY_LOCAL_MACHINE\
System\CurrentControlSet\Services\ProtectedStorage\Parameters分支上，用于设置受保护的系统存储参数。
*ImagePath=C:\\WINDOWS\\SYSTEM\\PSTORES.EXE：启动保护的系统存储功能的程序为
PSTORES.EXE。
*AuthCodeCfg=dword:00000001：设置验证代码值。
*Configuration=dword:00000001：设置配置值。
　　另外，Parameters子键下面还有一个S子键，该子键位于HKEY_LOCAL_MACHINE
\System\CurrentControlSet\Services\ ProtectedStorage\Parameters\S分支上，用于进一步地设置pstores.exe、psbase.dll系统参数值。
*pstores.exe=hex:13,ff,e7,bb,a3,f2,01,1e,87,.......：设置pstores.exe系统参数值。
*psbase.dll=hex:d0,08,ef,10,2b,bf,b2,f2,23,.......：设置psbase.dll系统参数值。
(14) WebPost子键
　　该子键具有如下子键结构：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WebPost
　　HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\WebPost\Providers
　　Providers子键下面保存了所有与Internet Mail（这是Outlook Express软件中的一个电子邮件管理程序）有关的信息

bittermoon

注册表根键HKEY_classics_root
  
扩展名与应用程序的对应关系
　　Windows所支持的文件类型（这些文件具有一定的文件扩展名）在HKEY_CLASSES_ROOT根键下定义。下表中列出了HKEY_CLASSES_ROOT根键中的文件扩展名和文件类型之间的关系。

文件扩展名和文件类型间的关系

扩展名 文件类型 文件扩展名 文件类型
.386 vxd文件（这是一个虚拟设备驱动程序） .ADM ADM_auto_文件
.ai application/postscript文件 .aif aiff文件
.aifc aiff文件 .aiff aiff文件
.ani ani文件（光标动画文件） .art art文件
.au au文件（用于Internet传输的声音文件） .awd FaxView文档（用于传真的显示）
.snd au文件 .avi avi文件（由Video forWindows支持）
.bat bat文件 .bfc Briefcase（这是一种公文包文件）
（DOS、Windows下的批处理文件）
.bmp Paint.picture .cda cda文件
（这是一个由画图附件所产生的图片文件）
.cnf Conferencelink（这是一个会议连接） .crt certificate文件（这是一个用于
安全方面的证书认证文件）
.der certificate文件 .clp Clipboard文件（用于保存剪贴
板中的内容）
.cmd cmd文件（这是一个文本文件，主要用于命令解释） .com com文件（这是DOS、
Windows上一个命令解释程序，如command.com、win.co等）
.cpl cpl文件 .css text/css文件
.cur cur文件（用于存放光标资源） .dat DAT_auto_文件
.dcx DCXImage.Document（这是一个DCXImage产生的文档） .DIC Txt文件
.dll dll文件 .shb DocShortCut（这是
（这是一个Windows上使用的动态链接库文件） DOC文件的快捷方式）
.drv drv文件（Windows上的设备驱动程序） .xla EXCEL.Addin
.xlk Excel.Backup .xlc Excel.Chart.5
.csv Excel.CSV .xld Excel.Dialog
.dif Excel.DIF .xlb Excel.Sheet.5
.xls Excel.Sheet.5 .slk Excel.SLK
.xlt Excel .Template .xlv Excel.VBAModule
.xlw Excel.Workspace .xll Excel.XLL
.xlm Excel.Macro.Sheet .xif XIFImage.Document（这
是一个XIFImage产生的文档）
.exe exe文件（这是DOS、Windows下可执行文件） .fnd fnd文件
.fon fon文件（这是Windows的TTF字库的索引文件） .gif gif文件
.goc gocserve .hlp help文件（Windows下帮助文件）
.ht ht文件 .htm html文件（这是超文本标记语言文件）
.html html文件 .ico ico文件（这是Windows的图标文件）
.inf inf文件（这是一个信息安装文件） .ini ini文件（Windows的初始化文件）
.url InternetShortcut（这是Internet上URL地址的快捷方式） .job JobObject
.jfif jpeg文件 .jpe jpeg文件
.jpg jpeg文件 .lnk lnk文件（这是Windows上的快捷方式）
.mid mid文件 .mmm MPlayer
.mlv MPEG文件（这是一
个视频文件） .mak mak文件
.man application/x-trof-man格式的文件 .MAPI
Mail CLSID\{9E56BE60-C50F-11CF-9A2C-00A0C90A90CE}（这是一个类标识）
.mcc Dialer10CallingCard（这是一个电话卡文件） .mov mov文件（这是一个由QuickTime for
Windows支持的视频文件）
.mov
ie video/x-sgi-movie格式文件 .mp2 MPEG文件
.mpa MPEG文件 .mpe MPEG文件
.mpeg MPEG文件 .mpg MPEG文件
.msn MS.Network.Document（这
是一个MSN软件产生的文件） .rmi mid文件
.gra MSGraph.Chart.5 .grp MSProgramGroup（这是一个由程序管理器产生的组窗口文件）
.obd Office.Binder.95 .obt Office.Binder.Template
.obz Office.Binder.Wizard .ofn Office.File.New（这是一个由Office新
创建的文件
.PBK MSN_PhoneBook .pcx PCXImage.Document
.nws MicrosoftInternet News
Message .pif pif文件
.pma Perf文件 .ps application/postscript格式文件
.pmc Perf文件 .pml Perf文件
.pmr Perf文件 .pmw Perf文件
.pfm pfm文件 .pnf pnf文件
.que QueueObject .qt MOV文件
.ra ReadAudio文件 .ram ReadAudio文件
.reg reg文件（注册表文件） .rnk rnk文件
.rpm audio/x-pn-realaudio-
plugin格式文件 .rtf Word.RTF
.scr scr文件 .shs ShellScrap
.sit application/x-stuffit格式文件 .sys sys文件
.tif TIFImage.Document .tiff TIFImage.Document
.ttf ttf文件 .ttc ttc文件
.EXC txt文件 .log txt文件
.scp txt文件（脚本文件） .txt txt文件
.pic ViewerFrameClass .vir vir文件
.vsd Visio.Drawing.4 .vss Visio.Drawing.4
.vst Visio.Drawing.4 .vsw Visio.Drawing.4
.wav wav文件 .ARC Winzip
.ARJ Winzip .gz Winzip
.LZH Winzip .tar Winzip
.taz Winzip .tgz Winzip
.z Winzip .zip Winzip
.wll Word.Addin wbk Word.Backup
.DOT Word.Template .wiz Word.Wizard
.doc Word.Document .wri wri文件
.xbm xbm文件(image/x-xbitmap格式文件) .xif XIFImage.
Document
.uls uls文件（ text/iuls格式文件） .WHT Whiteboard
.WPS wps文件 　 　

特殊扩展名与应用程序的对应关系
　　我们在注册表编辑器中可以发现，HKEY_CLASSES_ROOT根键下的文件扩展名子键（如*、bas等）前面有“+”符号，而且在此文件扩展名中没有对应的应用程序。为了查明这些文件后缀与应用程序之间的关系，我们必须单击“+”一次或者几次，才可以看到它们的关系。

下面简要地介绍这些特殊的文件后缀子键。

*子键
　　 *子键下面具有如下层次结构：

HKEY_CLASSES_ROOT\*
HKEY_CLASSES_ROOT\*\shellex
HKEY_CLASSES_ROOT\*\shellex\PropertySheetHandlers
HKEY_CLASSES_ROOT\*\shellex\PropertySheetHandlers\{3EA48300-8CF6-101B-84FB-666CCB9BCD32}

　　此层次结构说明了*子键的文件类型与 Windows系统中的外壳扩展中的属性页句柄建立了一种关联。

bas子键

　　.bas子键下面具有如下层次结构：

HKEY_CLASSES_ROOT\.bas
HKEY_CLASSES_ROOT\.bas\shell
HKEY_CLASSES_ROOT\.bas\shell \open
HKEY_CLASSES_ROOT\.bas\shell \open \command

　　此层次结构说明了bas子键与command子键所指定的应用程序建立了关联。在command子键中还有如下设置：

#@=E:\VB\vb.exe %1

　　也就是说，bas文件后缀与E:\VB\vb.exe关联。

bmp子键

　　bmp子键下面具有如下层次结构：

HKEY_CLASSES_ROOT\.bmp
HKEY_CLASSES_ROOT\.bmp \ShellNew

　　在ShellNew子键下面只有一个设置：

#NullFile=：将NullFile设置为空串，以便能将.bmp文件扩展名添加到系统的新建菜单中。

bittermoon

注册表根键HKEY_USER

AppEvents子键
　　HKEY_USERS根键中保存的是默认用户（.DEFAULT）、当前登录用户（如ws）与软件（Software）的信息。
注意：HKEY_USERS\Software中保存的软件信息与HKEY_LOCAL_MACHINE\Software相同。

　　HKEY_CURRENT_USER\.DEFAULT下面有八个子键。其中除RemoteAccess子键外，下面是其中几个系统预定义的子键。

# AppEvents：登录已注册的各种应用事件。
# Control Panel：与控制面板设置有关的内容。
# keyboard layout：键盘设置信息。
# Software：软件的有关信息。

　　.DEFAULT子键的配置是针对未来将会被创建的新用户的。新用户根据默认用户的配置信息来生成自己的配置文件，该配置文件包括环境、屏幕、声音等多种信息。

Control子键
　　Control Panel子键位于HKEY_USERS\.DEFAULT\Control Panel分支上，它所包含的内容与桌面、光标、键盘和鼠标等设置有关。改变它们的键值就将改变对应的工作环境或参数，如下图所示的就是Control Panel的子键结构。
我们可以看到，Control Panel子键下面又有二十几个子键，在这里可能看到全部的子键，你可以打开注册表编辑器加以检证。根据系统配置和设置情况的不同，子键的数目也会不同。例如有的系统中没有Mouse子键，这并不是表示计算机中没有安装鼠标，而是指您从来没有对鼠标器作过任何设置， Windows系统完全采用默认值。
　　虽然Control Panel子键中的键值与环境和特性有直接关系，但很多参数的改变并不要求用户通过修改注册表来实现，而只需通过“控制面板”即可进行修改。也有一些环境特性的改变只能通过修改注册表来实现，例如，改变菜单的弹出延迟时间。

Accessibility子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\Accessibility分支上。
　　该子键包含如下两个配置数据：
#　Keyboard Preference=0：禁止使用键盘性能功能。
#　Blind Access=0：禁止闪烁存取功能。
　　Accessibility子键还包含了十个子键，多数子键在“控制面板”窗口的“辅助选项”图标中都有对应的选项。这些子键的键值名中一般都有一个“On”。当其键值为0时，表示此设置无效；而当其键值为1时，则表示此设置生效。

Appearance子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\Appearance分支上。
该子键下的键值中列出了可供选择的各种颜色和图案。您可以在“控制面板”的“显示属性”对话框的“外观”选项下的“方案”下拉菜单中，看到这些颜色和图案的中文名称。
　　在Appearance子键下还有一个Scheme子键，用于设置配色方案的，这些图案使用十六进制数值表示出来。

Cursors子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\Cursors分支。
它的键值中列出了光标图案所在的文件路径。您可以在“控制面板”的“鼠标”对话框中的“指针”选项下的“方案”下拉菜单中，看到这些颜色和图案的中文名称并进行设置。

Colors子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\Colors分支上。
用于设置桌面上各种项目（如图标、菜单等）的颜色。您可以在“控制面板”的“显示属性”对话框中的“外观”选项下的“颜色”框内，看到这些项目所设置的颜色，如：Scrollbar=192 192 192：设置滚动条的颜色，其中部分设置可以在显示属性窗口内进行设置。其颜色使用RGB格式来组合颜色值。

desktop子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\desktop分支上。
该子键的键值中列出了桌面和窗口中的各种部件，如窗口边界、标题、图标、菜单、滚动条、消息框的长度、宽度和字体等数据。这些数据可以在“控制面板“的“显示属性”对话框中进行修改。
Desktop子键具有如下的设置数据：
#　DragFullWindows=0：确定在拖动窗口时是否显示全窗口形状。若为0，则不显示全窗口。若为1，则显示全窗口。
#　FontSmoothing=0：确定是否让字体平滑地显示。若为0，则字体不平滑显示。若为1，则字体平滑地显示。
#　Wallpaper=：设置墙纸。
#　TileWallpaper=0：设置墙纸的显示方式。
#　ScreenSaveTimeOut=840：启动屏幕保护程序的等待时间为840毫秒。
#　UserPreferencemask=hex:ae,00,00,00：设置用户的显示性能掩码。此掩码使用十六进制数值表示。
#　WallpaperStyle=0：设置用于填充墙纸的周围剩余空间的Active Desktop样式。
#　ScreenSaveLowPowerActive=0：确定是否进入屏幕保护的低功耗状态。若为0，则不进入屏幕保护的低功耗状态。
#　ScreenSavePowerOffActive=0：确定在进入屏幕保护状态时，是否关闭监视器。若为0，则关闭监视器。
#　CursorBlinkRate=500：设置光标闪烁速率。
#　MenuShowDelay=400：设置菜单显示的延迟时间。
#　ScreenSaveActive=0：确定是否启用屏幕保护程序。若为0，则禁用屏幕保护程序。
#　ScreenSaveUsePassword=dword:00000000：确定屏幕保护程序是否使用密码。若为0，则不使用密码。若为1，则使用密码。

在desktop子键下面还有一个子键：WindowMetrics子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\desktop\WindowMetrics分支上。
该子键保存了如何显示窗口的信息。
这些信息显示如下：
# IconSpacingFactor=100：设置图标间距因子。
# ScrollWidth=-270：设置滚动宽度。
# ScrollHeight=-270：设置滚动高度。
# IconSpacing=-1155：设置图标间距。
# IconVerticalSpacing=-1125：设置图标垂直间距。
# IconFont=hex:09,00,00,00,00,00,00,00,90,01,00,00,... ... ：设置图标字体。此字体使用十六进制表示出来。
# CaptionFont=hex:09,00,00,00,00,00,00,00,90,01,00,00,00,... ... ：设置标题字体。
# MenuFont=hex:09,00,00,00,00,00,00,00,90,} 01,00,00,00,00,... ... ：设置菜单字体。
# SmCaptionFont=hex:09,00,00,00,00,00,00,00,bc,02,00,00,... ... ：设置调色板标题字体。
# StatusFont=hex:09,00,00,00,00,00,00,00,90,01,00,00,00,86,00,... ... ：设置状态栏字体。
# MessageFont=hex:09,00,00,00,00,00,00,00,90,01,00,00,00,86,00,... ... ：设置信息字体。
# BorderWidth=-15：设置边框宽度。
# CaptionWidth=-270：设置标题宽度。
# CaptionHeight=-270：设置标题高度。
# SmCaptionWidth=-210：设置调色板标题的宽度。
# SmCaptionHeight=-210：设置调色板标题的高度。
# MenuWidth=-270：设置菜单宽度。
# MenuHeight=-270：设置菜单的高度。
# Shell Icon Size=32：图标尺寸为32× 32。

Input Method子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\Input Method。
该子键的键值中登录了输入方法切换热键的有关数据。这些数据您可以在“控制面板”中打开“输入法”对话框中的“热键”选项下进行修改。
Input Method子键下有如下配置数据：
# Show Status=1：确定是否显示输入法状态。
# Parallel Distance=hex:00,00,00,00：设置输入法状态图标与输入法图标之间的水平距离。
# Perpendicular Distance=hex:10,00,00,00：设置输入法状态图标与输入法图标之间的垂直距离。
# Parallel Tolerance=hex:38,00,00,00：设置输入法状态图标与输入法图标之间的最大的水平距离。
# Perpendicular Tolerance=hex:10,00,00,00：设置输入法状态图标与输入法图标之间的最大的垂直距离。
　　在Input Method子键下面还有一个Hot Keys子键。
它位于HKEY_USERS\.DEFAULT\Control Panel\Input Method\Hot Keys分支上，用于设置输入法的热键。根据系统中所安装的输入法的个数，在Hot Keys子键下面将有多个用于设置热键的子键，但是其设置方法是类似的。例如，“微软拼音输入法1.5” 的热键设置子键位于HKEY_USERS\.DEFAULT\Control Panel\Input Method\Hot Keys \00000011分支上。
其键值数据如下：
#　Key Modifiers=hex:04,c0,00,00：设置键盘修改符。
# Target IME=hex:00,00,00,00：设置目标IME。
# Virtual Key=hex:20,00,00,00L：设置虚拟键。

International子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\International分支上。
该子键的键值中登录了表示时间的“上午”和“下午”的数据。这些数据可以在“控制面板”中打开“区域设置”对话框中的“时间”选项下进行修改。

Keyboard子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\Keyboard。
该子键的键值中登录了击键时的重复延时和重复速率。这些数据可以在“控制面板”中打开“键盘”对话框中的“速度”选项下进行修改。
keyboard子键下具有如下键值数据：
#　KeyboardSpeed=31：设置键盘的字符重复输入速度。
#　KeyboardDelay=0：设置键盘的字符重复的延缓时间。

Mouse子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\Mouse分支上。
该子键的键值中登录了鼠标的双击速度和指针的移动速度。这些数据可以在“控制面板”中打开“鼠标”对话框中的“按钮”和“移动”选项下进行修改。
Mouse子键下面具有如下设置数据：
# MouseThreshold1=4：设置鼠标双击速度。
# MouseThreshold2=12：设置鼠标指针轨迹移动速度。
# MouseSpeed=2：设置鼠标速度。 PowerCfg子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\PowerCfg分支上，用于设置电源管理的有关数据。这些数据可以在“控制面板”中打开“电源管理”对话框中的“电源方案”选项下进行修改。
PowerCfg子键具有如下键值数据：
# CurrentPowerPolicy=0：设置电源方案为“家庭/办公室桌面”。电源方案的序号由PowerPolicies子键下的子键内容确定。

PowerCfg子键下面还有如下两个子键：
(1) GlobalPowerPolicy 子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\PowerCfg\GlobalPowerPolicy分支上，用于设置全局电源方案。该方案是由该子键下面的键值数据确定的：
# Policies=hex:01,00,00,00,06,00,00,00,03,00,00,00,00,...... ：设置全局电源方案数据。
(2) PowerPolicies 子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\PowerCfg\PowerPolicies分支上，用于设置电源方案的序号以及方案数据。
①0子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\PowerCfg\PowerPolicies\0分支上，用于设置“家庭/办公室桌面”的电源方案。
# Name=家庭/办公室桌面：电源方案的名称。
# Description=此方案适用于大多数整天不关电源的家用或桌面计算机。电源方案的描述。#
# Policies=hex:01,00,00,00,02,00,00,00,01,00,00,00,00,00,......。电源方案数据。
②1子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\PowerCfg\PowerPolicies\1分支上，用于设置“便携型/膝上型”的电源方案。
# Name=便携型/膝上型：电源方案的名字。
# Description=此方案是为延长旅途中使用的便携机电池寿命而设计。：该电源方案的描述。
# Policies=hex:01,00,00,00,02,00,00,00,01,00,00,00,00,...... ：电源方案数据。
③3子键
　　该子键位于HKEY_USERS\.DEFAULT\Control Panel\PowerCfg\PowerPolicies\3分支上，用于设置“始终打开”的电源方案。
# Name=始终打开：电源方案的名称。
# Description=此方案使计算机保持运行，这样，他人可从网络访问该计算机。如果您没有网络唤醒硬件，请使用此方案。：该电源方案的描述。
# Policies=hex:01,00,00,00,00,00,00,00,01,00,00,00,00,00,... ...：电源方案数据。

Keyboard子键
　　该子键位于HKEY_USERS\.DEFAULT\keyboard layout分支上。用于设置键盘的布局，如键盘语言的加载顺序等。
　　该子键下面提供有如下三个子键：

preload子键
　　该子键位于HKEY_USERS\.DEFAULT\keyboard layout\preload分支上，用于设置键盘语言的加载序。Preload子键下面的子键个数与您在系统中所安装的键盘语言有关。

Substitutes子键
　　该子键位于HKEY_USERS\.DEFAULT\keyboard layout\substitutes分支，用于设置可替换的键盘语言布局。在通常情况下，此子键的设置是空的。

Toggle子键
　　该子键位于HKEY_USERS\.DEFAULT\keyboard layout\toggle分支上，用于选择键盘语言。

Software子键
　　Software子键对于不同的机器其键值数据是不同的。此子键其实是HKEY_LOCAL_MACHINE\Software分支的一部分，因为这里只涉及Microsoft公司开发的程序以及Netscape公司开发的Navagiator浏览器 ，而HKEY_LOCAL_MACHINE\ Software分支则包括了其他应用程序（如Adobe、Corel、Autodesk等）和Microsoft公司开发的应用程序及Netscape 公司的Navagiator浏览器的键值数据。由于Windows中文版内嵌了许多Microsoft公司开发的应用程序（如 Internet Explorer 5.0、NetMeeting、FrontPage Express等），因此，该子键在注册表中就显得十分重要。通过修改该子键下，就可以实现Windows的某些重要功能。　

Microsoft子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft分支上，用于设置Microsoft公司开发的应用程序的键值数据。

(1) Internet Explorer子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer分支上，用于设置Internet Explorer 5.0的键值数据。

Internet Explorer子键还有一个子键：

Main子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main分支上，用于设置Internet Explorer 5.0软件的主操作界面。

(2) Java VM子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\Java VM分支上，用于设置Java虚拟机（VM）。

# EnableJIT=hex:01,00,00,00：确定是否允许使用JIT（Java Internet Toolbar）。如果为
“01,00,00,00”，则允许使用JIT。如果为“00,00,00,00”，则禁止使用JIT。
# EnableLogging=hex:00,00,00,00：确定是否允许登录。如果为“01,00,00,00”，则允许使用登录 。如果为“00,00,00,00”，则禁止使用登录。

(3) Windows子键

该子键下面如下子键结构：

HKEY_USERS\.DEFAULT\Software\Microsoft\Windows
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion

CurrentVersion子键用于设置当前Windows版本。其下面有如下子键：

①Applets子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Applets分支上，用于设置Java Applets（Java小程序）。

②Multimedia子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Multimedia分支上，用于设置多媒体驱动程序与应用程序。

(4) Outlook Express子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\Outlook Express分支上，用于设置Outlook Express。

(5) Active Setup子键
　　该子键具有如下子键结构：
HKEY_USERS\.DEFAULT\Software\Microsoft\Active Setup
HKEY_USERS\.DEFAULT\Software\Microsoft\Active Setup\Installed Components
　　该子键中存储了使用Active Setup程序安装组件的信息。Active Setup是Windows最新提供的活动桌面设置程序。

(6) Conferencing子键
　　该子键下面具有如下子键结构：
HKEY_USERS\.DEFAULT\Software\Microsoft\Conferencing
HKEY_USERS\.DEFAULT\Software\Microsoft\Conferencing\UI
HKEY_USERS\.DEFAULT\Software\Microsoft\Conferencing\UI\Directory
　　Directory子键用于设置Micrososft NetMeeting程序的预设目录服务器个数及其URL地址。
# Count=hex:09,00,00,00：预设的目录服务器的个数（缺省为9个）。

(7) WebPost子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\WebPost分支上，用于设置WebPost程序（这是一个Web发布向导程序，使用此程序可以将FrontPage生成的网页发布到Internet服务器上）。
该子键下面有如下两个子键：
①Logging子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\WebPost\Logging分支上，用于设置WebPost的登录信息。
# LoggingDir=C:\\PROGRA~1\\WebPub~1：设置登录目录。
# WizardLogging=No：确定Web发布向导是否需要登录。若为yes，则需要登录。若为no，则不需要登录。
# WebPostLogging=No：确定WebPost程序是否需要登录。若为yes，则需要登录。若为no，则不需要登录。
②FrontPageWPP子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\WebPost\FrontPageWPP分支上，用于存储FrontPage生成的WebPost的网页（WebPost Page）。

(8) SystemCertificates子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\SystemCertificates分支上，用
于存储系统验证信息。

(9) Internet Account Manager子键
　　该子键位于 HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Account Manager分支上，用于设置Internet帐号管理器（InternetAccount Manager）。

# Server ID=dword:0000006b：设置服务器标识。
# Account Name=dword:0000000c：设置帐号名字。
# Default LDAP Account=00000001：设置LDAP（目录服务器）的帐号。
# Default Mail Account=00000008L：设置缺省的电子邮件帐号。
# Default News Account=0000000b：设置缺省的新闻组服务器帐号。

　　在该子键下面有一个Accounts子键，用于进一步地设置各种服务器的帐号。对于每种服务器，将在Accounts子键下面提供了类似 00000001、00000002等子键，在这些子键中，包含了LDAP目录服务器、电子邮件服务器等。其中LDAP服务器的设置是类似的，而电子邮件服务器的设置也是类似的。在本机器中，00000001子键、00000002子键、......、00000007子键为LDAP服务器，而 00000008子键、00000009、0000000a子键为电子邮件服务器。

　　下面我们以00000001、00000008子键分别说明LDAP服务器、电子邮件服务器的设置。

①00000001 子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Account Manager\Accounts\00000001分支上，用于设置SwitchBoard目录服务器有关参数。

# Account Name=SwitchBoard：设置帐号。
# LDAP Server=ldap.switchboard.com：设置目录服务器地址。
# LDAP Authentication=dword:00000000：确定是否需要安全验证。若为0，则不需要安全验证
# LDAP Timeout=dword:00000003：设置连接失败时重试的次数（缺省为3次）。
# LDAP Search Return=dword:00000064：设置目录服务器在搜索时的返回地址。
# LDAP Server ID=dword:00000064：设置目录服务器的标识。
# LDAP Resolve Flag=dword:00000000：设置目录服务器的分析标志。
# LDAP URL=http://www.switchboard.com：设置目录服务器的URL地址。
# LDAP Port=dword:00000185：设置目录服务器的端口地址（缺省为185）。
# LDAP Secure Connection=dword:00000000：确定是否设置安全连接。若为0，则不设置安全连接。
# LDAP Logo=C:\\PROGRA~1\\COMMON~1\\Services\\swtchbrd.bmp：设置SwitchBoard目录服务器的显示微标。
# LDAP Bind DN=dword:00000000：确定是否设置绑定（Bind）域名服务器（DN）。若为0，则不绑定域名服务器。
# LDAP Simple Search=dword:00000000：确定是否执行简单搜索。若为0，则不执行简单搜索。

　　　　　Accounts子键下面其他子键所对应LDAP服务器的帐号
　Accounts子键下面其他LDAP服务器的子键 帐 号 LDAP服务器 LDAP的URL
地址
00000
002子键 Yahoo! People Search ldap.yahoo.com Http：//www.yahoo.com/search/people/
00000
003子键 Info
Space ldap.infospace.com Http://www.infospace.com
0000
0004子键 Info
Space Business ldapbiz.infospace.com Http://www.infospace.com
00000
005子键 Bigfoot ldap.bigfoot.com http://www.bigfoot.com
0000
0006子键 WhoWhere ldap.whowhere.com http://www.whowhere.com
0000
0007子键 Verisign directory.verisign.com Http://www.verisign.com

②00000008子键
　　该子键位于HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Account Manager\Accounts\00000008分支上，用于设置电子邮件服务器的有关参数。

# Account Name=163.net：设置邮件服务器的帐号名称。
# Connection Type=dword:00000002：指定连接类型（此类型由“Internet连接向导”指定）。
# Connectoid=CQ163：设置连接标识。
# POP3 Server=pop.163.net：设置POP3服务器地址。
# POP3 User Name=Wanji：指定POP3用户名称。
# POP3 Password2=hex:01,01,07,00,00,00,16,7f,7f,77,00,00,63：指定POP3服务器的密码。
# POP3 Use Sicily=dword:00000000：确定是否使用“安全密码验证（SPA）”登录。若为0，则不使用“安全密码验证”登录。
# SMTP Server=public.cta.gz.cn：设置SMTP服务器地址。此地址可为本地SMTP服务器的地址。
# SMTP Display Name=王晶：SMTP显示名字。
# SMTP Email mailto:Address=caogjwj@163.net：指定SMTP电子邮件地址。

Accounts子键下面其他子键所对应电子邮件服务器的帐号

子键
名称 帐
号 POP3
服务器 POP3
用户
名 POP3密码 SMPT
0000
0009
子键 CQ
163 Public.cta.gz.cn Wanji hex:01,01,07,00,00,00,16,7f,7f,77,00,00,63
　
public.cta.gz.cn
000
0000a
子键 263
NET pop.263.net Wan
ji_1 hex:01,01,07,00,00,00,16,7f,7f,77,00,00,63
　
Public.cta.gz.cn

xushifei

这方面我还是老菜，带好好学。

wxbwxb

好文章,楼主辛苦了

bittermoon

DOS下维护注册表的高级技巧
    现在随着电脑应用知识的普及，我想，很多朋友对WINDOWS注册表的修改已经有不少经验和心得。在图形界面下对注册表的维护和修改，就不必再提了，但有时候，我们可能会遇到更辣手的事情，如由于人为错误操作或者恶性病毒感染而使系统切底崩溃，不能进入WINDOWS图形界面时，我们对此是否只有重装这种方法呢？本文将就在DOS下面尽量挽救系统这方面作出阐述。
一、 使用scanreg/restore
　　我想这种方法大家也比较熟悉了，只要在DOS界面下输入该命令，就可以在最近的5个注册表备份里恢复，如果幸运的话，系统就可以马上恢复。但，事实上，用这种方法有个致命的缺陷就是你只有最近5天的注册表备份可以选择。因为控制着自动备份的scanreg.exe只会在每天第一次启动电脑时备份，如果哪天你安装的程序或者对注册表的修改比较多，那么你的努力就大多白费了。这种方法就正如是眉毛胡子一起抓，正确和错误的都一起改掉，是否能为恢复系统帮上忙，总有一种听天由命的感觉。所以，笔者鼓励大家使用第二种方法。
　　 二、使用DOS界面的regedit.exe
　　如果把scanreg/restore比作是一刀切的话，这种方法更像是一次高明的外科手术，只一矢中的地针对病，把错误修复而完全不影响注册表的其他健康部分。这样，我们就能在最大限度上保留我们的工作成果了。使用regedit.exe对注册表实行局部修改的思路是：首先，把注册表里有嫌疑的分支导出；然后，使用edit对它进行分析和修改；最后，把健康的分支重新导入注册表里。好了，我们来看看整个过程的具体操作。
　　 1 导出注册表分支
　　在DOS下导出注册表分支的命令格式是：Regedit[/L:system]
[/R:user] /E filename [regpath1]。/L：system是指定system.dat的路径，/R：user是指定 user.dat的路径，如果不说明，系统就会在默认的路径下找；/E：是导出注册表分支的文件名，regpath1是要导出的注册表分支。比如，我们要导出默认注册表关于控制系统启动的分支到test.reg里，命令如下：regedit /e test.reg HKEY－LOCAL－MACHINE \Software\Microsoft\Windows\Current
Version\Run。
　　 2 对注册表进行分析、修改
　　在DOS下面只要运行edit就能对＊.reg文件进行编辑了，因为我们导出的注册表实际上就是文本文件。不过，要正确找出引起错误的地方并修改，需要我们平时对注册表积累的经验。下面，我们看一下它的基本结构，以使我们在对它的修改时可以有的放矢。我们知道，注册表里面有6个主分支，其中容易引起致命错误而使WINDOWS不能正常启动的分支有： [HKEY_LOCAL_MACHINE]，记录着本地机器的硬件配置以及安装的相应软件，特别是 [HKEY－LOCAL－MACHINE\Enum\PCI]这个分支下面的主键值，一旦出错，WINDOWS往往不能启动。如[HKEY－LOCAL－ MACHINE\Enum\PCI
\VEN_8086＆DEV－7111＆SUBSYS_00000000＆REV－01\BUS_00＆DEV_07＆FUNC－01]记录的是硬盘控制器的详细信息，下面的Logconfig记录着它的各种参数；[HKEY_LOCAL－MACHINE\Enum
\PCI\VEN－1002＆DEV－4C42＆SUBSYS_4C421071＆REV－DC000800]记录的则是显示卡的重要资料和参数，一旦这里出错，往往会导致WINDOWS在启动时黑屏，然后死掉。
　　另外还有[HKEY－LOCAL－MACHINE\Software\Microsoft
\Windows\CurrentVersion]里记录着WINDOWS当前版本的信息以及启动时执行的程序等，这是病毒最爱攻击和修改的地方。
　　至于还有[HKEY－CLASS－ROOT]是记录文件种类及其关联信息的，[HKEY－CURRENT－USER]里记录着当前用户的各种信息，包括登陆的密码和各方面的设置等，这些一般不会引起WINDOWS的致命错误，这里也不再详细分析了。
　　当我们对这些键值分析和修改时，如果碰到什么不清处的地方，可以通过第1点的导出注册表方法，把一些备份注册表的相应分支导出，进行比较。 WINDOWS的注册表备份都放在C:\windows\sysbackup里面，如我们要导出第一个注册表备份的 [HKEY_LOCAL_MACHINE]分支，那么我们可以先进入该目录，然后键入命令：extract /e rb000.cab ＊.＊，先把 system.dat和user.dat解压出来，再键入命令：regedit /L:system.dat /R: user.dat /e backup.reg HKEY－LOCAL－MACHINE。 笔者在这里提醒一下，这是一个很好的解决问题的方法，再用上一些文件比较软件可以很快的找出错误的，请诸位慢慢体会。
　　 3 把修改好的注册表分支重新导入
　　命令的格式为：regedit /L:system /R:user file1.reg file2.reg。我们一般都要修改默认的注册表文件，所以在实际使用中只需键入：regedit file1.reg就行了。 　　
　　 好了，讲了这么久，我们看看一个具体的案例。
　　学院机房里的一台机器在重新启动后，无论用正常模式或者安全模式都不能进入WINDOWS界面，表现为启动过程中硬盘突然不读。用SCANDISK检查过硬盘，并没有发现问题。在启动过程中选择生成BOOTLOG.TXT文件，发现启动到硬盘控制器后就断掉了。本来想用scanreg/restore 恢复备份的注册表，可是该机器为了加快启动，并没有自动备份。于是，用regedit把[HKEY－LOCAL－MACHINE\Enum\PCI]分支导出，键入：regedit /e hdc.reg HKEY－LOCAL－MACHINE\Enum\PCI；接着用EDIT查看关于硬盘控制器的部分，发现有"ChannelOptions"=hex:00，问题到这里终于发现了，原来是有人把IDE控制器设置成不使用，造成在加载硬盘控制器后，系统不能访问硬盘，所以把它改为：hex:02；再键入命令：regedit hdc.reg，把修改后的信息导入。重新启动机器，一切正常运行了。
　　这样，在不损坏任何数据的情况下，就把问题解决了。希望这个例子能给大家带来这种DOS下维护注册表技巧的启发，毕竟，我们硬盘上面有很多都是无价的数据