reg load /reg unload 与 PowerShell 实现方案完整解构文档 PowerShell 可以帮助你获取挂载映像的服务列表

image

image

REG LOAD 完整解构（含 /reg:32 /reg:64 参数）

本体归属：reg.exe 子命令 完整语法：REG LOAD KeyName FileName [/reg:32 | /reg:64]

一、整体底层原理

REG LOAD 封装 Advapi32 的RegLoadKeyW Win32 API，核心作用：将离线二进制注册表 Hive 文件（由REG SAVE生成，如 NTUSER.DAT、自定义 xxx.hiv）挂载到本机HKLM或HKU下的临时子项，让现有注册表 API/regedit/reg 子命令可以直接读写这份离线 hive。

本质：在内核配置管理器中建立内存映射关联，把磁盘上静态 hive 文件挂载进当前活动注册表命名空间，不会自动把 hive 内容合并进系统正在运行的注册表。

二、依赖文件

文件 作用
reg.exe 命令入口，参数解析、API 调用封装
advapi32.dll 提供核心RegLoadKey注册表 API
ntoskrnl.exe + cm.dll 内核配置管理器，负责 hive 加载、缓存、安全校验
kernel32.dll 文件、句柄、内存基础 API
*.hiv / NTUSER.DAT / SYSTEM 待加载的离线二进制 Hive 文件

三、依赖关系

  1. 权限依赖：必须管理员权限，需要SeRestorePrivilege特权，普通用户直接报错。
  2. 文件依赖：待加载文件必须是标准注册表 hive 格式（REG SAVE生成，或原生 NTUSER.DAT 等系统 hive），普通.reg文本文件不能用于 REG LOAD。
  3. 节点约束：仅允许挂载到 HKLM\XXX 或 HKU\XXX，不能挂载到 HKCU/HKCR。
  4. 配套依赖：加载完成修改后必须使用REG UNLOAD卸载节点，否则 hive 文件持续被内核句柄锁定，无法移动 / 删除。
  5. /reg:32 /reg:64 依赖 Wow64 注册表重定向机制，仅在 64 位 Windows 系统生效；32 位系统该参数无效。

四、完整逻辑链路

REG LOAD HKLM\TempHive D:\data\test.hiv /reg:64
1. reg.exe 解析参数，校验管理员权限、文件是否存在、目标节点不存在
2. 调用 advapi32!RegLoadKeyW，传入KeyName、hive文件路径、视图标记(/reg:32/64)
3. 内核配置管理器cm.dll读取磁盘hive文件，校验hive文件头合法性
4. 在活动注册表命名空间创建临时项 HKLM\TempHive，映射到磁盘hive
5. 成功返回0；失败返回1（文件损坏、权限不足、节点已存在、文件占用等）

五、参数逐条拆解

1. KeyName

  • 底层原理：指定挂载目标路径，仅支持HKLM\子项 或 HKU\子项；reg 内部会校验该子项必须不存在（不能覆盖已有项）
  • 配套链：临时节点命名一般用HKLM\TempHive、HKU\TempUser这类标识，方便后续REG UNLOAD
  • 边界
    • ❌ 不支持 HKCU、HKCR、HKCC 等根键
    • ❌ 目标子项不能预先存在，必须全新空节点
    • ✅ 仅本地机器，不支持远程注册表路径

2. FileName

  • 底层原理：指向离线二进制 hive 文件路径，内核直接读取该 hive 到注册表缓存
  • 配套链：REG SAVE生成的.hiv快照、系统原生NTUSER.DAT用户配置文件
  • 边界
    • ❌ 不能是文本.reg文件（reg 文本和 hive 二进制完全不同格式）
    • ❌ 不能加载系统正在占用的 hive（正在登录用户的 NTUSER.DAT、正在使用的 SYSTEM），会报文件占用
    • ✅ 路径含空格必须用双引号包裹

3. /reg:32

  • 底层原理：启用 Wow64 重定向，强制以32 位注册表视图挂载 hive，后续 reg/regedit 读取该节点时走 Wow6432Node 映射逻辑
  • 配套链：32 位软件离线配置修复、兼容旧程序注册表
  • 边界
    • 仅 64 位 OS 生效；32 位系统加此参数无意义
    • 只控制本次加载的视图，不影响系统其他注册表分支

4. /reg:64

  • 底层原理：强制以原生 64 位注册表视图挂载 hive（64 位系统默认行为，不加参数默认等价 /reg:64）
  • 配套链：64 位软件离线基线配置、系统级 hive 修改
  • 边界
    • 32 位系统该参数无效
    • 和 /reg:32 互斥，二者不能同时写

六、配套链

  1. 前置配套：REG SAVE：生成可离线修改的 hive 快照
  2. 后置配套：REG UNLOAD：卸载临时节点、释放 hive 文件锁（强制必须配套）
  3. 读写配套：REG QUERY / REG ADD / REG DELETE、regedit 直接读写挂载后的 HKLM\TempHive
  4. 运维场景配套：PE 离线修复系统注册表、批量预置用户配置（NTUSER.DAT 模板）、取证分析离线注册表
  5. 回滚配套：修改 hive 前先备份原 hiv 文件，异常时直接替换

七、边界 & 高频坑点

  1. 忘记 REG UNLOAD：hive 文件内核句柄不释放，文件被锁，无法删除 / 移动，重启前一直占用。
  2. 文件格式混淆：把.reg文本直接拿来 LOAD，直接报错，REG LOAD 只认二进制 hive。
  3. 节点已存在报错：KeyName 必须全新不存在的子项，不能挂载到已有注册表路径。
  4. 权限不足：普通用户直接返回失败，必须管理员，部分服务器还需要开启 SeRestorePrivilege。
  5. Wow64 视图混淆：64 位系统不加参数默认 64 视图；如果要处理 32 位软件配置，必须显式/reg:32。
  6. 不能加载正在使用的 hive：比如当前已登录用户的 NTUSER.DAT，系统独占占用，LOAD 失败。
  7. 挂载只是映射：修改挂载节点的数据，直接写入磁盘上的原始 hiv 文件，不需要额外 SAVE。

八、标准可直接运行完整示例

:: 1. 加载离线hive到临时节点（64位视图）
REG LOAD HKLM\TempHive D:\hive\test.hiv /reg:64

:: 2. 读写修改这个离线hive（正常reg命令操作HKLM\TempHive即可）
REG ADD HKLM\TempHive\Software\MyApp /v Version /t REG_SZ /d "1.0.0" /f

:: 3. 【必须收尾】卸载节点，释放文件句柄
REG UNLOAD HKLM\TempHive

image

REG UNLOAD 完整解构

归属：reg.exe 子命令 完整语法：REG UNLOAD KeyName

一、底层原理

REG UNLOAD 封装 Advapi32 的 RegUnLoadKeyW Win32 API。 作用：解除内核配置管理器中，由 REG LOAD 挂载的离线 Hive 映射关系，销毁注册表命名空间里临时生成的子项，释放内核持有的 Hive 文件句柄，解除文件锁定。

本质：仅断开内存注册表和磁盘 hive 文件的映射；挂载期间对 hive 的修改早已持久写入磁盘文件，卸载不会回滚数据。 ⚠️ 只能卸载 REG LOAD 挂载出来的临时 hive 节点，不能卸载系统原生正在使用的注册表根项。

二、依赖文件

文件 作用
reg.exe 命令入口，参数解析、API 调用封装
advapi32.dll 提供核心 RegUnLoadKeyW 注册表 API
ntoskrnl.exe + cm.dll 内核配置管理器，负责销毁 hive 映射、释放缓存与文件句柄
kernel32.dll 句柄、内存、基础系统 API
*.hiv / NTUSER.DAT 此前 REG LOAD 挂载的离线二进制 Hive 文件

三、依赖关系

  1. 前置依赖：目标KeyName必须是REG LOAD成功挂载生成的临时节点，普通原生注册表项无法 UNLOAD。
  2. 权限依赖：必须管理员权限，需要SeRestorePrivilege特权，普通用户直接报错。
  3. 节点约束：仅支持 HKLM\SubKey / HKU\SubKey，不支持 HKCU/HKCR/HKCC，不支持远程注册表路径。
  4. 句柄依赖：如果其他进程（regedit、powershell、reg query）还持有该临时节点的打开句柄，UNLOAD 会失败，需要先关闭占用句柄。

四、完整逻辑链路

REG UNLOAD HKLM\TempHive
1. reg.exe 解析KeyName参数，校验路径格式、管理员权限
2. 调用 advapi32!RegUnLoadKeyW，传入目标临时注册表项
3. 内核cm.dll校验该节点是否为REG LOAD挂载的外部hive
4. 销毁注册表命名空间内该节点，释放hive缓存、释放磁盘文件句柄
5. 成功返回0；失败返回1（非挂载节点、句柄占用、权限不足、路径非法等）

五、参数逐条拆解

KeyName

  • 底层原理：指定待卸载的临时注册表节点，只能是HKLM\xxx或HKU\xxx，必须是之前REG LOAD创建出来的子项。
  • 配套链：和REG LOAD成对使用，命名保持一致（例：LOAD 使用HKLM\TempHive，UNLOAD 同样写HKLM\TempHive）。
  • 边界
    • ❌ 不能直接卸载系统原生项（HKLM\SOFTWARE、HKU\S-1-5-21-xxx 等正在使用的 hive）
    • ❌ 不支持远程注册表\\PC01\HKLM\TempHive
    • ❌ 路径不存在 / 不是 LOAD 挂载节点 → 直接报错
    • ✅ 路径含空格时，必须用双引号包裹 "HKLM\My Temp Hive"

六、配套链

  1. 前置配套：REG LOAD：先挂载离线 hive，才有可卸载的节点，二者成对使用是离线注册表修改标准范式
  2. 读写配套：REG QUERY / ADD / DELETE、regedit 完成 hive 内容修改后，必须执行 UNLOAD 收尾
  3. 自动化配套：脚本中使用try/finally结构，保证即使中间报错，也一定会执行 UNLOAD，防止文件锁残留
  4. 运维场景配套：PE 离线修复系统注册表、批量预置 NTUSER.DAT 用户模板、取证离线注册表分析
  5. 异常配套：UNLOAD 失败排查句柄占用（可使用 handle.exe 查找文件占用进程）

七、边界 & 高频坑点

  1. 忘记执行 REG UNLOAD：hive 文件会被内核持续锁定，无法移动、删除、覆盖，直到系统重启释放句柄，是最高频故障。
  2. 目标节点不是 REG LOAD 挂载项：尝试卸载系统原生注册表分支直接失败，RegUnLoadKey不允许卸载系统正在加载的 hive。
  3. 其他进程持有句柄占用：regedit 打开了该临时节点、powershell 还在读取该注册表项 → UNLOAD 返回失败，需要关闭相关程序释放句柄。
  4. 权限不足：非管理员、缺少 SeRestorePrivilege 特权，直接执行失败。
  5. 卸载不回滚数据：挂载期间对 hive 的修改已经写入磁盘，UNLOAD 只是断开映射，不会撤销修改。
  6. 不支持 /reg:32 //reg:64 参数：REG UNLOAD 无视图参数，视图属性是在 REG LOAD 阶段就确定的。

八、标准完整落地示例（成对使用）

:: 1. 加载离线hive
REG LOAD HKLM\TempHive D:\hive\test.hiv

:: 2. 修改离线注册表内容
REG ADD HKLM\TempHive\Software\Demo /v Version /t REG_SZ /d "2.0" /f

:: 3. 卸载节点，释放文件锁（必须执行）
REG UNLOAD HKLM\TempHive

reg load /reg unload 与 PowerShell 实现方案完整解构文档

核心前置结论

PowerShell 没有内置原生 Cmdlet 直接等价 reg load / reg unload。
 
reg load / reg unload 底层调用 Win32 API：RegLoadKey / RegUnLoadKey（advapi32.dll），实现离线注册表 Hive（配置单元文件：NTUSER.DAT、SYSTEM、SOFTWARE、SAM）挂载。
PowerShell 存在三条可行路线：
  1. 直接调用 reg.exe load / reg.exe unload（生产最稳定、推荐）
  2. P/Invoke 调用 advapi32.dll RegLoadKey 原生 API（纯 PS 无外部进程）
  3. .NET RegistryKey::OpenRemoteBaseKey（能力受限，≠reg load）
⚠️ 重要区分：
 
New-PSDrive -PSProvider Registry 不能加载离线 hive 文件，仅仅是给已经存在的注册表路径创建别名驱动器，很多人混淆二者。

一、reg load /reg unload 底层调用栈

plaintext
PowerShell进程
    ↓ & reg.exe load HKLM\TmpHive D:\ntuser.dat
reg.exe (C:\Windows\System32\reg.exe)
    ↓ advapi32.dll
        ├─ RegLoadKeyW(根键,临时子项,hive文件路径)
        └─ RegUnLoadKeyW(根键,临时子项)
    ↓ NtLoadKeyEx（内核模式注册表管理器，ntoskrnl.exe）
        ↓ 打开离线 hive 文件（NTUSER.DAT / SYSTEM）
        ↓ 将磁盘二进制配置单元映射到当前系统注册表命名空间

关键权限要求

执行 必须管理员权限，内部需要启用：
 
SeBackupPrivilege、SeRestorePrivilege；普通用户直接返回拒绝访问。

语法约束（原生限制）

cmd
reg load <KeyName> <HiveFile>
KeyName 只能是：
    HKLM\xxx  或者 HKU\xxx
不能直接挂载到 HKCU、HKCR、HKCC
临时子项挂载前必须不存在；卸载前不能有任何进程持有该注册表项句柄。

二、三种 PowerShell 实现方案拆解、优劣对比

方案 1：PowerShell 调用 reg.exe（工程首选）

最简写法
powershell
#加载
& reg load "HKLM\TmpUser" "D:\Mount\NTUSER.DAT"
#读写注册表（Get-ItemProperty / Set-ItemProperty）
#卸载
& reg unload "HKLM\TmpUser"
✅ 优点
  • 兼容性全 Windows 版本；无需写复杂 P/Invoke；不会出现句柄泄漏；
  • 严格遵循微软原生行为，PE、离线镜像取证通用；
     
    ❌ 缺点：产生独立子进程 reg.exe；无法捕获精细 API 错误码（只能依靠 $LASTEXITCODE）。

方案 2：PowerShell P/Invoke 直接调用 advapi32 RegLoadKey（纯托管，无外部进程）

底层完全等价 reg.exe，适合不想产生子进程的自动化脚本。
原理：在 PowerShell 中动态定义 C# 签名，直接调用 Win32 原生 API。

方案 3：.NET [Microsoft.Win32.RegistryKey]::OpenRemoteBaseKey

❌ 绝对不等于 reg load！极易踩坑
 
作用：连接远程计算机在线注册表；不能读取本地磁盘上离线 NTUSER.DAT。很多文档错误混淆。

方案 4：New-PSDrive -PSProvider Registry

powershell
New-PSDrive -Name TmpHive -PSProvider Registry -Root "HKLM:\TmpUser"
仅创建路径别名；无法加载外部 hive 文件。必须先用 reg load 挂载成功后，才能用这条命令方便访问路径。

三、完整调用链路数据流（reg load 工作流程）

  1. 传入 hive 文件路径（NTUSER.DAT/ SYSTEM）；文件必须未被占用；
  2. RegLoadKey 打开二进制 hive 文件，校验注册表文件头；
  3. 内核注册表管理器将该配置单元映射到 HKLM\TmpUser 虚拟节点；
  4. 此后所有 PowerShell 注册表 Cmdlet（Get/Set/New/Remove-ItemProperty）均可正常读写；
  5. 业务操作完成；
  6. 必须执行 reg unload：内核将内存修改刷新回原始 hive 文件，解除文件锁；
⚠️ 如果不执行 unload 直接关闭会话：极易导致 hive 文件损坏、修改丢失。

四、依赖配套链

1）核心二进制依赖

  1. advapi32.dll：提供 RegLoadKey / RegUnLoadKey Win32 API
  2. reg.exe：命令行封装载体（方案 1 使用）
  3. ntoskrnl.exe：内核注册表配置单元加载实现

2）权限依赖

管理员权限；需要备份与还原特权。

3）文件载体

标准注册表 hive 文件：
  • NTUSER.DAT（用户配置单元）
  • C:\Windows\System32\config\SYSTEM、SOFTWARE、SAM、SECURITY、DEFAULT
     
    文件格式：二进制 ESENT 结构，不能用文本编辑器直接修改。

4）常见协同 PowerShell 命令

挂载之后使用标准注册表 Cmdlet 操作：
powershell
Get-ItemProperty  "HKLM:\TmpUser\Control Panel\Desktop"
Set-ItemProperty  "HKLM:\TmpUser\Control Panel\Desktop" -Name Wallpaper -Value "C:\bg.jpg"
New-Item
Remove-Item

五、P/Invoke 原生 API 实现脚本（无 reg.exe 子进程，底层等价 reg load）

powershell
#Requires -RunAsAdministrator
Add-Type @"
using System;
using System.Runtime.InteropServices;
public class RegHive
{
    [DllImport("advapi32.dll", CharSet = CharSet.Unicode)]
    public static extern int RegLoadKey(IntPtr hKey, string lpSubKey, string lpFile);

    [DllImport("advapi32.dll", CharSet = CharSet.Unicode)]
    public static extern int RegUnLoadKey(IntPtr hKey, string lpSubKey);

    public static IntPtr HKEY_LOCAL_MACHINE = (IntPtr)0x80000002;
    public static IntPtr HKEY_USERS        = (IntPtr)0x80000003;
}
"@

# 加载离线Hive
$ret = [RegHive]::RegLoadKey([RegHive]::HKEY_LOCAL_MACHINE, "TmpUser", "D:\Mount\NTUSER.DAT")
if($ret -eq 0){Write-Host "加载成功"}
else{Write-Host "失败，错误码:$ret"}

#========执行读写操作========

# 卸载（关键，释放文件锁，持久化修改）
$ret = [RegHive]::RegUnLoadKey([RegHive]::HKEY_LOCAL_MACHINE, "TmpUser")

六、生产可用封装函数（reg.exe 版本，推荐运维脚本使用）

powershell
<#
.SYNOPSIS
封装离线注册表Hive加载/卸载，等价reg load / reg unload
#>
#Requires -RunAsAdministrator
function Mount-RegistryHive{
    param(
        [Parameter(Mandatory)]
        [string]$RegPath,     # HKLM\TmpUser
        [Parameter(Mandatory)]
        [string]$HiveFile
    )
    & reg load $RegPath $HiveFile
    if($LASTEXITCODE -ne 0){
        throw "加载Hive失败，退出码 $LASTEXITCODE"
    }
}
function Dismount-RegistryHive{
    param(
        [Parameter(Mandatory)]
        [string]$RegPath
    )
    # 清理句柄，避免卸载失败
    [GC]::Collect()
    [GC]::WaitForPendingFinalizers()
    & reg unload $RegPath
    if($LASTEXITCODE -ne 0){
        throw "卸载Hive失败，退出码 $LASTEXITCODE"
    }
}

# === 使用示例 ===
# Mount-RegistryHive -RegPath "HKLM\TmpUser" -HiveFile "D:\Offline\NTUSER.DAT"
# Get-ItemProperty "HKLM:\TmpUser\Control Panel\Desktop"
# Dismount-RegistryHive -RegPath "HKLM\TmpUser"

七、高频故障与底层根因

  1. reg unload 报错：占用，无法卸载
     
    根因：PowerShell 仍然持有该注册表项的 RegistryKey 句柄；
     
    解决：强制垃圾回收 [GC]::Collect();[GC]::WaitForPendingFinalizers()，关闭所有访问该路径的变量。
  2. 拒绝访问
     
    未使用管理员权限；或者 hive 文件权限不足、被其他进程锁定。
  3. 挂载成功，修改后卸载，但修改不生效
     
    没有正常执行 unload；进程异常退出，事务未回写到 hive 文件。
  4. 不能挂载到 HKCU
     
    原生 API 限制，RegLoadKey 仅支持 HKLM、HKUSERS 下创建临时子项。

八、关键概念区分速查表

方式 能否加载离线 NTUSER.DAT 是否产生子进程 适用场景
reg.exe load ✅ 是 产生 reg.exe 运维、取证、离线镜像（首选）
P/Invoke RegLoadKey ✅ 是 无外部进程 高级自动化、内存脚本
OpenRemoteBaseKey ❌ 否 — 仅连接远程在线注册表
New-PSDrive Registry ❌ 否 — 仅别名，不能加载外部 hive
 

advapi32.dll 完整解构文档

一、基础定位

advapi32.dll（Advanced API Services）
 
路径：
  • 64 位：C:\Windows\System32\advapi32.dll
  • 32 位兼容：C:\Windows\SysWOW64\advapi32.dll
     
    类型：用户态标准 Win32 系统 DLL，属于 KnownDLL，进程启动默认预加载。
核心本质：
 
上层应用 ↔ Windows 安全子系统、注册表、服务控制管理器、审计、权限令牌之间的标准 API 封装层。
 
advapi32 本身不实现内核逻辑，只做参数校验、字符串转换、RPC 封装、系统调用转发、NTSTATUS ↔ Win32 错误码转换。
你前面用到的：reg.exe load/unload、PowerShell 注册表操作、令牌权限提升AdjustTokenPrivileges、服务操作、离线 hive 挂载，底层全部依赖 advapi32 导出函数。

二、顶层调用栈总览

plaintext
应用层（PowerShell / reg.exe / C# / sc.exe）
    ↓ 调用 advapi32.dll 导出Win32 API
advapi32.dll【五大功能模块分发】
├─分支A：注册表API → 调用 ntdll Nt*注册表系统调用
├─分支B：SCM服务API → RPC客户端 → 命名管道 \\.\pipe\ntsvcs → services.exe(SCM)
├─分支C：LSA安全/令牌API → RPC客户端 → \\.\pipe\lsass → lsass.exe
├─分支D：安全描述符、ACL、审计API → ntdll + LSA RPC
└─分支E：事件日志、加密辅助、安全策略API
        ↓
ntdll.dll（Native API存根，发起SYSCALL进入内核）
        ↓ SYSCALL指令切换Ring0
ntoskrnl.exe 内核执行：
    配置管理器CM、LSA内核组件、对象管理器、安全引用监控SRM

三、内部分五大功能模块（导出函数分组）

模块 1：注册表操作 API（你离线修改 NTUSER.DAT 核心依赖）

代表性导出函数：
 
RegOpenKeyExW / RegCreateKeyExW / RegSetValueExW / RegQueryValueExW
 
RegLoadKeyW / RegUnLoadKeyW（对应reg load / reg unload）
 
RegSaveKey / RegRestoreKey / RegCloseKey
底层链路：
 
PowerShell/reg.exe → advapi32 → ntdll NtOpenKey / NtLoadKeyEx → 内核配置管理器 CM
 
CM 负责：加载离线 hive（NTUSER.DAT/SYSTEM）、内存缓存读写、事务持久化、ACL 权限校验。
关键特性：
 
RegLoadKey 仅允许挂载到 HKLM / HKUSERS 下临时节点，不能直接挂载 HKCU；
 
需要 SeBackupPrivilege、SeRestorePrivilege（管理员令牌默认具备）。

模块 2：服务控制管理器 SCM API

代表函数：
 
OpenSCManagerW / CreateServiceW / StartServiceW / ControlServiceW
 
对应工具：sc.exe、PowerShell Get-Service/New-Service
链路：
 
advapi32 封装 RPC 客户端 → ncacn_np 命名管道 \\.\pipe\ntsvcs → services.exe（SCM）
 
所有服务创建、启动、配置、权限变更由 SCM 服务端实现，advapi32 只做报文序列化。

模块 3：LSA / 进程令牌 / 权限特权 API（运维脚本高频）

代表函数：
 
OpenProcessToken、LookupPrivilegeValueW、AdjustTokenPrivileges
 
LogonUserW、LookupAccountSidW
链路：
 
advapi32 → RPC 管道 \\.\pipe\lsass → lsass.exe（本地安全授权）
 
用途：脚本开启调试权限 SeDebugPrivilege、模拟用户、SID 账户互转、权限提升。

模块 4：安全描述符、ACL、对象权限、审计

GetSecurityInfo / SetSecurityInfo、InitializeSecurityDescriptor
 
用于注册表、文件、打印机、服务对象权限配置。

模块 5：事件日志、安全策略、SeEdit 安全模板

OpenEventLogW、SeLoadPolicyFile（secedit 底层）

四、依赖文件（依赖关系链）

【直接导入依赖（advapi32 导入表）】

  1. ntdll.dll【最核心】
     
    提供全部 Native 系统调用存根（NtOpenKey、NtLoadKeyEx 等）。
  2. rpcrt4.dll
     
    RPC 运行库，SCM、LSASS 通信必备；所有跨进程 RPC 报文封装。
  3. kernel32.dll
     
    基础进程、内存、文件 API。
  4. crypt32.dll / secur32.dll
     
    证书、安全包、SSPI 认证支持。

【运行时依赖进程（IPC 通信对象，非导入依赖）】

  1. services.exe：SCM 服务控制管理器（服务 API RPC 服务端）
  2. lsass.exe：LSA 安全子系统（登录、令牌、SID 解析）

【内核态依赖组件】

  1. ntoskrnl.exe：配置管理器 CM、安全引用监控 SRM
  2. registry hive 文件：NTUSER.DAT、SYSTEM、SOFTWARE（持久载体）

五、典型业务完整数据流（以 RegLoadKeyW 离线挂载 NTUSER.DAT 为例）

plaintext
PowerShell(管理员)
    ↓ & reg load "HKLM\OfflineNTUSER" "D:\NTUSER.DAT"
reg.exe
    ↓ advapi32!RegLoadKeyW
        1. 参数校验：路径合法性、根键只能HKLM/HKU
        2. 检查进程令牌是否具备SeRestorePrivilege
        3. 调用 ntdll!NtLoadKeyEx
            ↓ SYSCALL 进入内核
ntoskrnl!CmLoadKey
    1. 打开NTUSER.DAT二进制文件
    2. 校验hive文件头、版本
    3. 将hive映射到注册表命名空间 HKLM\OfflineNTUSER
    4. 建立内存缓存
返回用户态
PowerShell 即可读写 HKLM:\OfflineNTUSER
修改完成
    ↓ reg unload → advapi32!RegUnLoadKeyW → NtUnloadKey
内核CM：将内存修改刷回NTUSER.DAT、解除文件锁
重点风险：进程持有注册表句柄不释放 → RegUnLoadKey 失败 → 修改无法落盘，极易损坏 hive。
 
对应你之前脚本中 [GC]::Collect() 强制回收句柄的设计。

六、与 PowerShell 交互场景汇总（运维日常）

  1. Get-ItemProperty / Set-ItemProperty
     
    PowerShell 注册表提供程序最终调用 advapi32 注册表 API。
  2. reg.exe load/unload
     
    reg.exe 是薄封装，核心逻辑转发 advapi32。
  3. P/Invoke C# 签名直接调用 RegLoadKeyW（无 reg.exe 子进程方案）
  4. AdjustTokenPrivileges 开启特权（备份还原权限加载离线 hive 必备）
  5. Get-Service/New-Service 服务操作底层 SCM API。

七、关键底层约束（排障核心）

  1. 权限约束
     
    RegLoadKey、修改 HKLM、安装服务、调整令牌特权，必须管理员完整令牌；UAC 过滤令牌会丢失特权，直接返回拒绝访问。
  2. 句柄泄漏问题
     
    PowerShell、.NET RegistryKey 对象会持有内核句柄；句柄未释放 → RegUnLoadKey 报错占用。解决方案：强制 GC 回收。
  3. 32/64 位 Wow64 重定向
     
    32 位进程加载 SysWOW64\advapi32.dll，访问注册表自动映射 Wow6432Node；离线 hive 不受重定向影响。
  4. advapi32 不实现业务，仅转发
     
    现象：advapi32 调用报错，不一定是 advapi32 损坏；很多时候是：
  • lsass/services.exe 异常
  • hive 文件损坏
  • 内核 CM 无法加载配置单元
  • RPC 管道被安全软件拦截

八、常见故障分层定位模型

  1. RegLoadKey 返回 5 (ERROR_ACCESS_DENIED)
    • 未管理员启动；令牌缺少 SeRestorePrivilege；文件 NTFS 权限不足。
  2. RegUnLoadKey 返回占用
    • PowerShell 变量持有注册表句柄；regedit 浏览挂载节点；第三方工具打开 hive。
  3. 服务命令长时间卡住
    • RPC 管道无法连接 services.exe；SCM 服务异常。
  4. 无法启用令牌特权 AdjustTokenPrivileges 1300
    • 当前令牌不拥有该特权（普通用户、UAC 受限令牌）。

九、补充：容易混淆的概念区分

  • advapi32 ≠ kernel32
     
    kernel32：进程、文件、基础 I/O；
     
    advapi32：安全、注册表、服务、权限、审计。
  • advapi32 API ≠ 内核系统调用
     
    advapi32 是用户态一层封装；真正进入内核依靠 ntdll 发起 SYSCALL。
  • 不要混淆：Reg 系列 API（advapi32）和 PowerShell Registry Provider
     
    PowerShell 只是托管层，底层全部复用同一套 advapi32 导出函数。

离线 Windows 镜像 NTUSER.DAT 批量修改自动化脚本

脚本设计说明

  1. 底层依赖：reg load / reg unload 挂载离线注册表 Hive（NTUSER.DAT）
  2. 安全机制：强制垃圾回收释放注册表句柄，防止卸载失败导致 Hive 损坏
  3. 完整异常捕获：任何阶段异常自动触发卸载兜底，避免注册表文件锁死、损坏
  4. 可批量遍历多个 NTUSER.DAT；内置策略修改清单，按需扩展
  5. 权限要求：必须管理员权限运行
  6. 约束：仅支持离线 NTUSER.DAT（用户配置单元）；不可直接挂载 HKCU，临时挂载点固定在HKLM\OfflineNTUSER
⚠️ 重要风险提示
  • 操作前建议备份原始 NTUSER.DAT，脚本内置备份开关；
  • 挂载期间禁止资源管理器、注册表编辑器手动访问挂载路径，极易造成句柄泄漏；
  • 卸载失败强行终止进程会导致 Hive 事务丢失、文件损坏。
powershell
<#
.SYNOPSIS
离线批量修改NTUSER.DAT用户注册表配置单元
流程：备份文件 → 挂载Hive → 批量应用注册表策略 → 安全卸载 → 异常自动兜底卸载
#>
#Requires -RunAsAdministrator

#region =====================【配置区域，请自行修改】=====================
# 存放所有NTUSER.DAT的根目录（脚本会递归搜索所有NTUSER.DAT）
$SearchRootPath    = "D:\OfflineMount\Windows\Users"
# 注册表临时挂载节点（固定HKLM下，不可HKCU）
$RegMountNode      = "HKLM\OfflineNTUSER"
# 是否在修改前自动备份 NTUSER.DAT → NTUSER.DAT.bak
$EnableBackup      = $true
# 备份文件后缀
$BackupSuffix      = ".bak"
#endregion

#region =====================【注册表策略修改清单（自定义扩展）】=====================
<#
格式模板：
[PSCustomObject]@{
    Path        = "注册表路径（挂载后相对路径）"
    Name        = "键名"
    Value       = 值
    Type        = "DWord|String|ExpandString|MultiString|Binary"
}
#>
$RegModifyRules = @(
    #示例1：关闭通知Toast（对应之前WcmSvc通知策略）
    [PSCustomObject]@{
        Path  = "Software\Microsoft\Windows\CurrentVersion\PushNotifications"
        Name  = "ToastEnabled"
        Value = 0
        Type  = "DWord"
    },
    #示例2：资源管理器 显示隐藏文件
    [PSCustomObject]@{
        Path  = "Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"
        Name  = "Hidden"
        Value = 1
        Type  = "DWord"
    },
    #示例3：关闭启动动画
    [PSCustomObject]@{
        Path  = "Control Panel\Desktop"
        Name  = "Animation"
        Value = 0
        Type  = "String"
    }
)
#endregion

#region =====================全局辅助函数=====================
function Write-Log{
    param([string]$Text)
    $time = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
    $line = "[$time] $Text"
    Write-Host $line
}

function Invoke-SafeRegMount{
    param(
        [string]$MountRegPath,
        [string]$HiveFile
    )
    Write-Log "开始挂载 Hive : $HiveFile -> $MountRegPath"
    & reg load $MountRegPath "`"$HiveFile`""
    if($LASTEXITCODE -ne 0){
        throw "挂载失败，reg.exe 退出码 $LASTEXITCODE"
    }
    Write-Log "挂载成功"
}

function Invoke-SafeRegUnmount{
    param([string]$MountRegPath)
    Write-Log "准备卸载 $MountRegPath，执行垃圾回收释放句柄..."
    #关键：释放PowerShell内部注册表对象句柄，防止占用无法卸载
    [GC]::Collect()
    [GC]::WaitForPendingFinalizers()
    Start-Sleep -Milliseconds 300

    & reg unload $MountRegPath
    if($LASTEXITCODE -ne 0){
        Write-Log "【严重警告】卸载失败！Hive文件可能被占用，请勿直接断开镜像！"
        throw "卸载注册表Hive失败"
    }
    Write-Log "卸载成功"
}

function Invoke-ApplyRegRules{
    param(
        [string]$MountRoot,
        [array]$RuleList
    )
    foreach($rule in $RuleList){
        $fullRegPath = Join-Path -Path "Registry::$MountRoot" -ChildPath $rule.Path
        Write-Log "处理键：$fullRegPath\$($rule.Name)"

        #创建路径（不存在则新建项）
        if(-not (Test-Path $fullRegPath)){
            New-Item -Path $fullRegPath -Force | Out-Null
        }
        #写入键值
        Set-ItemProperty -Path $fullRegPath -Name $rule.Name -Value $rule.Value -Type $rule.Type -Force
    }
}
#endregion

#region =====================主执行逻辑=====================
Write-Log "========== 开始扫描 NTUSER.DAT 文件 =========="
$ntuserFiles = Get-ChildItem -Path $SearchRootPath -Recurse -Filter "NTUSER.DAT" -File -ErrorAction SilentlyContinue
Write-Log "共找到 $($ntuserFiles.Count) 个 NTUSER.DAT"

foreach($hiveFile in $ntuserFiles){
    $filePath = $hiveFile.FullName
    Write-Log "`n==== 当前文件：$filePath ===="

    try{
        #1. 备份
        if($EnableBackup){
            $bakPath = "$filePath$BackupSuffix"
            if(-not (Test-Path $bakPath)){
                Copy-Item -Path $filePath -Destination $bakPath -Force
                Write-Log "已备份：$bakPath"
            }else{
                Write-Log "备份文件已存在，跳过备份"
            }
        }

        #2. 挂载离线Hive
        Invoke-SafeRegMount -MountRegPath $RegMountNode -HiveFile $filePath

        #3. 批量应用注册表策略
        Invoke-ApplyRegRules -MountRoot $RegMountNode -RuleList $RegModifyRules

        #4. 安全卸载
        Invoke-SafeRegUnmount -MountRegPath $RegMountNode
        Write-Log "✅ $filePath 处理完成"
    }
    catch{
        Write-Log "❌ 处理异常：$($_.Exception.Message)"
        #【兜底逻辑】异常强制尝试卸载，防止文件锁死
        try{
            Invoke-SafeRegUnmount -MountRegPath $RegMountNode
        }catch{
            Write-Log "兜底卸载仍然失败，请手动检查文件占用！"
        }
    }
}

Write-Log "`n========== 全部任务执行结束 =========="
#endregion

完整底层链路拆解

plaintext
PowerShell(管理员)
    ↓ Invoke-SafeRegMount
    ↓ reg.exe load
    ↓ advapi32.dll → RegLoadKeyW
    ↓ ntoskrnl.exe NtLoadKeyEx
    ↓ 将NTUSER.DAT映射至注册表 HKLM\OfflineNTUSER

Set-ItemProperty（PowerShell注册表提供程序）
    ↓ advapi32.dll 写入注册表内存视图
    ↓ 修改暂存在内存，**尚未写入NTUSER.DAT磁盘文件**

Invoke-SafeRegUnmount
    ↓ GC垃圾回收释放所有RegistryKey句柄（核心防占用）
    ↓ reg.exe unload
    ↓ RegUnLoadKeyW
    ↓ 内核将全部修改刷入原始NTUSER.DAT，解除文件锁

关键安全要点（防文件损坏核心）

  1. 卸载前必须执行 [GC]::Collect()
     
    PowerShell 的Get/Set-ItemProperty会托管注册表句柄；不回收会持续占用，reg unload报错，修改无法落盘。
  2. 任何异常分支强制兜底卸载
     
    脚本 catch 块内部二次调用卸载，避免程序异常退出导致 Hive 永久挂载、文件锁定。
  3. 修改先备份
     
    离线镜像一旦损坏很难修复，开启$EnableBackup=$true。
  4. 禁止并行多线程同时挂载同一个 NTUSER.DAT

常见故障排查

  1. reg load 拒绝访问
    • 未管理员启动；
    • NTUSER.DAT 权限不足；
    • VHDX 虚拟磁盘未只读解除。
  2. reg unload 提示占用
    • 脚本外打开了regedit浏览挂载节点；
    • 脚本内存在变量持有注册表对象；确认垃圾回收执行成功。
  3. 修改完成，但是 NTUSER.DAT 内配置无变化
     
    → 未正常执行 unload，内存修改没有持久化写入磁盘。

扩展改造方向（按需增加）

  1. 增加导入 REG 文件功能（reg import挂载节点）；
  2. 增加过滤：跳过 Default 用户、跳过大小异常的损坏 NTUSER.DAT；
  3. 增加日志输出到文本文件；
  4. 增加 VHD/VHDX 自动挂载、卸载虚拟磁盘的外层封装。

 

reg load 和 reg unload 命令的 PowerShell 对应命令、说明、应用场景和示例的化呈现：

命令 PowerShell 对应命令 说明 应用场景 示例
reg load Load-RegistryHive 用于加载指定的注册表 hive 到注册表中。可以将一个外部注册表文件（如 .reg）加载到当前的注册表数据库中。 用于加载本地或远程计算机上的注册表文件（例如在恢复或迁移时）。 Load-RegistryHive -Hive "HKLM\Software\MyApp" -Path "C:\Backup\MyApp.reg"
reg unload Unload-RegistryHive 卸载已加载的注册表 hive，删除之前加载的注册表项。 用于卸载不再需要的注册表 hive，或者在完成任务后清理环境。 Unload-RegistryHive -Hive "HKLM\Software\MyApp"

详细说明：

  1. reg load 对应 PowerShell 命令 (Load-RegistryHive)

    • 功能：reg load 用于将一个注册表 hive 从文件加载到注册表中。例如，您可以加载一个注册表备份文件（.reg 格式）或其他保存的注册表数据。
    • 应用场景：常用于恢复或迁移注册表设置，在灾难恢复或测试过程中加载额外的注册表设置。
    • 示例：
      powershellCopy Code
      Load-RegistryHive -Hive "HKLM\Software\MyApp" -Path "C:\Backup\MyApp.reg"
      这个命令将 C:\Backup\MyApp.reg 文件加载到 HKLM\Software\MyApp 注册表路径下。

  2. reg unload 对应 PowerShell 命令 (Unload-RegistryHive)

    • 功能：reg unload 用于卸载先前加载到注册表中的 hive，通常用于在不再需要该 hive 时清理注册表环境。
    • 应用场景：常用于在完成工作后清理临时加载的注册表设置，或确保不再影响当前系统配置。
    • 示例：
      powershellCopy Code
      Unload-RegistryHive -Hive "HKLM\Software\MyApp"
      这个命令会卸载 HKLM\Software\MyApp 下的注册表设置。

 

  • reg load 和 reg unload 在 PowerShell 中对应 Load-RegistryHive 和 Unload-RegistryHive，使得您可以加载和卸载注册表 hive，适用于注册表备份、恢复、迁移和测试等任务。

 

PowerShell 可以帮助你获取挂载映像的服务列表。这可以通过使用 Windows 的 Deployment Image Servicing and Management (DISM) 工具来完成，DISM 工具是一个命令行工具，它允许你服务 Windows 映像，包括那些用于 Windows PE、Windows Recovery Environment (Windows RE) 和 Windows Setup 的映像。

在 PowerShell 中使用 DISM 获取挂载映像的服务列表，你可以遵循以下步骤：

  1. 打开 PowerShell：首先，以管理员权限打开 PowerShell。这通常需要在开始菜单中找到 PowerShell，右键点击，然后选择“以管理员身份运行”。

  2. 挂载映像：如果你的映像尚未挂载，你需要先挂载它。可以使用 Mount-WindowsImage cmdlet 来挂载 WIM 文件。例如：

    powershellCopy Code
    Mount-WindowsImage -Path "C:\Mount" -ImagePath "C:\Images\myimage.wim" -Index 1

    这里，-Path 是你想要挂载映像的目录，-ImagePath 是 WIM 文件的路径，-Index 是你想要挂载的映像在 WIM 文件中的索引。

  3. 获取服务列表：一旦映像被挂载，你可以使用 DISM 命令行工具来获取服务列表。由于 PowerShell 直接支持命令行执行，你可以使用 dism 命令，并指定你的映像路径。例如：

    powershellCopy Code
    dism /Image:C:\Mount /Get-Features

    这里，/Image:C:\Mount 指定了你的映像挂载路径。/Get-Features 参数用于列出所有功能，包括服务。

  4. 分析输出：/Get-Features 命令将列出所有功能和它们的状态（例如，启用或禁用）。虽然这个命令主要用于显示功能，但某些服务也会作为功能列出，因此你可以从这里获取服务信息。

  5. 卸载映像：完成操作后，不要忘记使用 Dismount-WindowsImage cmdlet 卸载映像并保存更改（如果有的话）。例如：

    powershellCopy Code
    Dismount-WindowsImage -Path "C:\Mount" -Save

请注意，上述步骤主要适用于处理 Windows 映像文件（如 WIM 文件）。如果你需要操作的是实际运行的系统或其他类型的映像文件，可能需要使用不同的方法或工具。

在PowerShell中处理离线Windows映像时，如果你想要读取服务注册表信息，可以通过加载注册表蜂巢（Hive）的方式来实现。这个过程涉及将离线映像的系统注册表文件加载到当前运行的系统注册表中，然后使用PowerShell或其他工具查询或修改这些信息。

以下是一个基于PowerShell的步骤，展示如何加载离线映像的服务注册表信息，进行读取和操作：

  1. 挂载Windows映像：首先，确保你的Windows映像已经被挂载到一个文件夹。如果还没有挂载，可以使用Mount-WindowsImage cmdlet挂载WIM文件。

  2. 打开PowerShell：以管理员权限打开PowerShell。

  3. 加载注册表蜂巢：你需要加载SYSTEM蜂巢来访问服务配置信息。这可以通过reg load命令完成。例如，如果你的映像挂载在C:\Mount路径下，那么SYSTEM蜂巢通常位于C:\Mount\Windows\System32\config\SYSTEM。

    powershellCopy Code
    reg load HKLM\OfflineSystem C:\Mount\Windows\System32\config\SYSTEM

    这里，HKLM\OfflineSystem是一个你选择的键名，用于在你的本地机器注册表中临时表示这个离线的SYSTEM蜂巢。

  4. 查询服务信息：一旦加载了SYSTEM蜂巢，你就可以使用PowerShell查询服务信息了。例如，要获取特定服务的信息，可以使用Get-ItemProperty cmdlet。

    powershellCopy Code
    Get-ItemProperty -Path HKLM:\OfflineSystem\ControlSet001\Services\<ServiceName>

    替换<ServiceName>为你想要查询的服务名称。

  5. 完成操作后卸载蜂巢：完成操作后，不要忘记卸载之前加载的蜂巢，以避免对系统造成潜在影响。

    powershellCopy Code
    reg unload HKLM\OfflineSystem

在PowerShell中获取在线系统的服务列表相对简单，通常使用Get-Service cmdlet即可。但是，要获取离线系统的服务列表，我们需要采取不同的方法，因为离线系统的服务状态信息储存在其注册表中，尤其是在SYSTEM蜂巢下的ControlSet001\Services路径。以下是一个步骤指南，展示了如何通过加载离线系统的注册表蜂巢来获取服务列表。

准备工作

  1. 挂载离线系统的磁盘：首先，确保你可以访问离线系统的文件系统。如果是从WIM映像操作，请先将其挂载到一个文件夹。如果是从另一个硬盘或分区操作，确保你可以访问其Windows目录。

  2. 以管理员权限打开PowerShell：这是因为加载注册表蜂巢需要管理员权限。

加载离线系统的注册表蜂巢

  1. 加载SYSTEM蜂巢：使用以下命令加载离线系统的SYSTEM蜂巢到你的当前系统注册表中。假设离线系统的Windows目录位于D:\Windows：

    powershellCopy Code
    reg load HKLM\OfflineSystem D:\Windows\System32\config\SYSTEM

    这里，HKLM\OfflineSystem是你为离线系统的SYSTEM蜂巢指定的键名。

获取服务列表

  1. 使用PowerShell查询服务信息：现在，你可以通过访问HKLM:\OfflineSystem\ControlSet001\Services来获取服务列表。以下命令列出了所有服务的名称：

    powershellCopy Code
    Get-ChildItem -Path HKLM:\OfflineSystem\ControlSet001\Services | ForEach-Object { $_.Name }

    或者，如果你想要获取更详细的信息（例如，每个服务的启动类型），可以使用：

    powershellCopy Code
    Get-ChildItem -Path HKLM:\OfflineSystem\ControlSet001\Services | ForEach-Object {
    $service = Get-ItemProperty -Path $_.PsPath
    [PSCustomObject]@{
        Name = $service.PSChildName
        DisplayName = $service.DisplayName
        StartType = switch ($service.Start) {
            0 {"Boot"}
            1 {"System"}
            2 {"Automatic"}
            3 {"Manual"}
            4 {"Disabled"}
            default {"Unknown"}
        }
    }
} | Format-Table -AutoSize

清理工作

  1. 卸载蜂巢：完成操作后，不要忘记卸载之前加载的蜂巢：

    powershellCopy Code
    reg unload HKLM\OfflineSystem

通过上述步骤，你可以获取一个离线系统的服务列表，包括服务名称、显示名称和启动类型等信息。请注意，直接操作注册表涉及风险，建议在进行此类操作之前备份相关数据，并确保你对所执行操作的后果有充分的了解。

在Windows系统中，获取挂载映像的系统服务列表通常涉及使用Deployment Image Servicing and Management (DISM) API或Windows Imaging API。这些API允许应用程序与Windows映像文件（如WIM文件）进行交互，包括获取服务列表等操作。

DISM API

DISM API提供了一套接口，用于管理和服务Windows映像。通过DISM API，开发人员可以编程方式挂载映像、查询映像信息、修改映像内容等。获取挂载映像的系统服务列表通常涉及以下步骤：

  1. 初始化DISM会话：首先，需要使用DismInitialize函数初始化DISM API。
  2. 打开在线或离线映像：使用DismOpenSession函数打开一个映像会话。对于离线映像，需要指定映像的路径。
  3. 获取服务信息：可以通过调用DismGetFeatures函数来获取映像中的功能列表，这其中也包括系统服务。虽然这个函数主要用于获取功能（Features）信息，但某些情况下，服务也被视为一种特殊的功能。
  4. 关闭会话和卸载DISM：操作完成后，使用DismCloseSession关闭会话，并通过DismShutdown函数卸载DISM API。

Windows Imaging API

Windows Imaging API是另一套用于处理Windows映像文件的API。它允许应用程序创建、编辑和查询WIM文件的内容。虽然Windows Imaging API提供了广泛的功能，用于操作映像文件，但直接获取映像内服务列表的API调用可能不如DISM API那样直接。

示例代码和更多信息

由于DISM API和Windows Imaging API都是以C语言提供的，因此需要使用C或兼容语言（如C++）来调用这些API。这里没有直接的PowerShell命令或简单的API调用示例来获取服务列表，因为这通常涉及到较为复杂的编程操作。

如果你的目标是在PowerShell脚本或命令行工具中获取服务列表，使用DISM命令行工具或PowerShell的DISM模块（例如，使用Get-WindowsFeature）可能是更简单直接的方法。

对于深入开发，建议查阅Microsoft官方文档中的DISM API和Windows Imaging API部分，以获取详细的API描述和示例代码。

在PowerShell中，你可以使用类似的逻辑来获取服务列表并保存到文件，例如：

powershellCopy Code
Get-ChildItem -Path HKLM:\SYSTEM\CurrentControlSet\Services | Out-File Z:\Services.txt

或者，为了获取更详细的输出（包括子项），可以结合使用Get-ChildItem和ForEach-Object

在PowerShell中，你可以使用Get-ChildItem cmdlet来枚举注册表键下的所有项，并使用ForEach-Object cmdlet来处理每个项。然后，你可以将输出结果重定向到文本文件中。以下是一个示例脚本，它展示了如何枚举HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services注册表键下的所有服务，并将相关信息输出到文本文件中。

powershellCopy Code
# 设置要查询的注册表路径
$regPath = "HKLM:\SYSTEM\CurrentControlSet\Services"

# 设置输出文件的路径
$outputFile = "C:\Services.txt"

# 使用Get-ChildItem获取所有服务，ForEach-Object处理每个服务
Get-ChildItem -Path $regPath | ForEach-Object {
    # 获取当前服务的名称
    $serviceName = $_.Name

    # 可以选择获取更多的详细信息，例如描述
    $serviceDescription = (Get-ItemProperty -Path $_.PsPath -Name Description).Description

    # 输出服务名称和描述
    "$serviceName, $serviceDescription"
} | Out-File -FilePath $outputFile

# 输出完成消息
Write-Host "服务列表已经保存到$outputFile"

这个脚本首先定义了要查询的注册表路径和输出文件的路径。然后，它使用Get-ChildItem来枚举指定路径下的所有项（本例中为所有服务）。对于每个服务，脚本使用ForEach-Object来处理，并从每个服务项中获取服务名称和描述（如果需要，还可以获取其他属性）。最后，这些信息被重定向到指定的输出文件中。

通过加载和查询注册表蜂巢来获取服务列表。这个过程涉及到将挂载的Windows映像中的SYSTEM注册表蜂巢加载到当前运行的系统中，然后查询相关的注册表项来获取服务列表。

步骤 1: 加载注册表蜂巢

假设你已经按照前面的步骤挂载了映像到C:\Mount路径下。现在，我们将从该挂载点加载SYSTEM蜂巢：

  1. 打开PowerShell窗口为管理员。

  2. 执行以下命令来加载SYSTEM蜂巢：

    powershellCopy Code
    $mountedRegPath = "C:\Mount\Windows\System32\config\SYSTEM"
reg load HKLM\TempSystem $mountedRegPath

    这里，HKLM\TempSystem是一个临时的键名，用于在你的系统注册表中表示加载的蜂巢。请确保选择一个唯一的键名以避免与现有键冲突。

步骤 2: 查询服务列表

加载了SYSTEM蜂巢后，你可以查询其中的服务配置：

powershellCopy Code
Get-ChildItem -Path HKLM:\TempSystem\ControlSet001\Services | ForEach-Object {
    $service = Get-ItemProperty -Path $_.PsPath
    [PSCustomObject]@{
        Name = $_.Name
        DisplayName = $service.DisplayName
        StartType = $service.Start
        Description = $service.Description
    }
} | Export-Csv -Path "C:\ServicesList.csv" -NoTypeInformation

这个命令会枚举所有服务，并为每个服务创建一个包含名称、显示名称、启动类型和描述的对象。最后，这些对象被导出到一个CSV文件中。

步骤 3: 卸载注册表蜂巢

完成查询后，不要忘记卸载之前加载的蜂巢：

powershellCopy Code
reg unload HKLM\TempSystem

 

posted @ 2024-02-05 16:32  suv789  阅读(164)  评论(0)    收藏  举报