我可以在哪里找到用户注册表数据上的unlogd？

Question

我知道HKEY_CURRENT_USER实际上是一个指向HKEY_USERS中的内置用户的特定SID的指针。 HKEY_USER只保存一次列表中的用户。你知道哪里可以找到unloged-on用户注册表数据？

Answer 1

HKEY_USERS hive包含所有用户的数据。 HKEY_USERS下的每个子配置单元均按用户的SID命名并包含用户特定的数据。当用户登录到系统时，Windows将相应的登录用户的SID从HKEY_USERS加载到HKEY_CURRENT_USER。

因此，如果您想访问其他（未登录）用户的数据，可以通过直接访问HKEY_USERS \ sid-of-user \ hive来完成。现在，问题是如何获取用户名的SID？为此，您需要枚举HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ ProfileList配置单元。此配置单元下的每个注册表项都是SID。值ProfileImagePath给出与其关联的用户名。

实例：
http://support.microsoft.com/kb/154599
http://support.microsoft.com/kb/243330