从 NTBackup 系统状态备份中提取注册表项

Question

一台 Windows Server 2003 机器最近死机了，但我需要一些包含在现已解散的服务器注册表中的信息。我有一个由 Windows Server 2003 内置备份程序 (NTBackup.exe) 创建的“系统状态”备份文件。有没有办法从备份文件中提取键/值？

我也许可以在类似的机器上安装 Win2003，然后进行系统状态还原，但这需要付出很多努力，而且我不确定系统状态还原是否可以在不同规格的机器上运行。（如果我以“安全模式”启动它会起作用吗？）但如果可能的话，我真的宁愿直接从 NTBackup 文件 zip-file-esque 样式中获取数据。

Answer 1

在另一台运行 W2K3 或 Windows XP 的机器上恢复备份的系统状态部分，为“将文件恢复到”选择“单个文件夹”选项并选择一些合理的“备用位置”（例如您为此目的创建的目录）。系统会警告您这是一项“高级”功能，并且并非所有文件都将被还原。就你的目的而言，这很好。

你会得到很多“%SystemRoot%\System32”目录（很多DLL文件等）和注册表。

从那里开始，Shial（看起来很像 SHODAN）发布的说明是正确的。启动“REGEDIT”，在本地注册表中突出显示“HKEY_LOCAL_MACHINE”，然后使用“File / Load hive...”选项。从与您要从中提取数据的注册表部分相对应的“备用位置”中选择文件（这些文件没有扩展名）：

• 系统 - HKEY_LOCAL_MACHINE\系统
• 软件 - HKEY_LOCAL_MACHINE\Software
• 安全 - HKEY_LOCAL_MACHINE\安全
• SAM - HKEY_LOCAL_MACHINE\SAM
• 默认 - HKEY_USERS.Default

在加载 hive 时选择您想要的任何名称，只要它不是已在 HKEY_LOCAL_MACHINE 下使用的名称。您正在将配置单元“安装”到实时注册表中，这与在目录下安装 NTFS 卷不同（除了您不必像安装 NTFS 安装点一样制作注册表项来安装配置单元）。

完成后，通过突出显示安装配置单元的键 (HKEY_LOCAL_MACHINE\whatever_name_you_chose) 并执行“文件/卸载配置单元...”来卸载配置单元。

Answer 2

我在 server 2003 上没有做太多，但它应该与 xp 中的相同。注册表是存储在 c:\windows\system32\config 中的一组文件，没有任何扩展名的各种文件（DEFAULT、SAM、SECURITY、SOFTWARE、SYSTEM）是实际的注册表配置单元，您可以通过选择手动将它们挂载到 regedit类似于 HKEY LOCAL MACHINE 然后转到 File 并选择 Load Hive 选项，然后选择您提取的文件，它应该要求您输入名称以将其导入，然后您可以从那里访问它。它位于 subhive 下，因此实际上不会影响您的正常注册表。它必须加载到其中一个主蜂箱中，否则该选项将显示为灰色。