就影子模式是否还原注册表的一点看法

chowfaye

刚刚跟 fufuji97讨论了下Ｓｈａｄｏｗ　Ｄｅｆｅｎｄｅｒ对系统盘进行保护时，没有对系统盘进行任何排除操作，重启后是否保存对注册表的操作

这是我的原帖：

“好像不是吧，注册表其实也是以文件的形式存在于硬盘的
Windows2000/XP注册表文件存储于“WINNT\system32\config”文件夹，其中包括“Default”、“SAM”、“Security”（Windows 2000无此文件）、“Software”和“System”五个文件，当然里边还有很多文件。

用户配置文件为“NTUSER.dat”，它存储于“C:\Documents and Settings\用户名”文件夹，Windows2000默认以“Administrator”内置系统管理员登录系统，而Windows XP则相反，用户需要创建自己的账户登录系统。

而我们打开注册表的程序Ｒｅｇｅｄｉｔ其实是用来访问注册表数据的一个连接工具，编辑完后是要存回以上提到的文件的。

你可以将系统盘置于影子下新建一个注册表项，重启，注册表项已经还原了。

个人理解，其实也就是这样的。”


fufuji97的原帖：

“回复 15楼 chowfaye 的帖子                                                                                                                                                                                                                                                                                                                                                                                你觉得容易，怎么都不支持呢？
引用sd作者一句话：极易蓝屏”

以下为重新试了一遍的贴图：




                                                                                                                                

当然两张图片不能说明什么，但请装影子系统的同学们试一下，到底还原不还原，
我认为还原，并且试了下，确实还原。

帖子地址http://bbs.kafan.cn/thread-464349-2-1.html

lixiang1977

肯定会还原啊！

ssyknuwyg

还原是肯定，解决很难，最大问题是如何指定我们想要保存的地方保存，而不是所有修改过的地方都保存

chowfaye

如果十分肯定的认为，将当前注册表保存可以接受的话，可以将注册表文件保存，但指定键值，好像不可能，要不全保存，要不不保存 。

ljqm

用SD对注册表进行的改变进行转储都不行，提示文件正在使用。

chowfaye

还真没试过，我到虚拟机试试看

chowfaye

的确，文件被Services.exe和System两个进程占用，无法保存，看来对于注册表的操作只能重启退出影子模式进行设置了