有没有办法在启动的系统中读取系统配置单元文件？

Question

%systemroot%\system32\config\system一旦系统启动并运行，有没有办法获得 , 的副本？我知道操作系统会锁定这个文件以防止它被破坏，但我所需要的只是能够读取它，足够长的时间来获取副本。也许“本机 API”中的某些东西会做到这一点？

Answer 1

您无法复制该文件的原因不是权限问题，也不是 Windows 对该文件的“保护”；问题是，该文件始终在正在运行的系统上使用（因此被锁定）。

加载时，文件被映射到HKLM\System; 您可以使用reg.exe以文本和二进制格式导出其内容：

reg export HKLM\System system.reg
reg save HKML\System system.hiv

第一个可以使用任何文本编辑器打开；后者是一个完整的二进制转储，可以通过在 REGEDIT 中加载它来打开。

另外，请注意 HKLM\System 的某些子项不存储在磁盘上，而是在运行时由操作系统填充（最臭名昭著的是CurrentControlSet）；因此，倾销/保存它们可能根本没有意义。