windows开机启动之注册表

逃离我推掉我的手 2022-12-01 05:11 530阅读 0赞

Windows程序开机启动的方式有很多，但是通过注册表启动应该是最简单的方式了。

### 注册表 ###

注册表（Registry，繁体中文版Windows操作系统称之为登录档）是Microsoft Windows中的一个重要的数据库，用于存储系统和应用程序的设置信息。早在Windows 3.0推出OLE技术的时候，注册表就已经出现。随后推出的Windows NT是第一个从系统级别广泛使用注册表的操作系统。但是，从Microsoft Windows 95操作系统开始，注册表才真正成为Windows用户经常接触的内容，并在其后的操作系统中继续沿用至今。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]

#### 打开注册表 ####

打开方式很多，个人习惯用搜索方式打开，用cmd也很方便。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]

#### 注册表的数据结构 ####

注册表由**键**（也叫主键或称“项”）、**子键**（子项）和**值**项构成。一个键就是分支中的一个文件夹，而子键就是这个文件夹当中的子文件夹，子键同样它也是一个键。**一个值项则是一个键的当前定义，由名称、数据类型以及分配的值组成**。一个键可以有一个或多个值，每个值的名称各不相同，如果一个值的名称为空，则该值为该键的默认值。

注册表的数据类型主要有以下四种：显示类型（在编辑器中）数据类型说明:  
REG\_SZ：字符串：文本字符串  
REG\_MULTI\_SZ：多字符串值：含有多个文本值的字符串  
REG\_BINARY：二进制数：二进制值，以十六进制显示，  
REG\_DWORD：双字值；一个32位的二进制值，显示为8位的十六进制值。

#### 注册表的根键 ####

从下图中的注册表编辑器(Win7系统)中可以看出注册表的根键有5个，在Win98和95系统中还有一个根键HKEY\_DTN\_DATA。

1.  HKEY\_CLASSES\_ROOT：存储在这里的信息可确保使用 Windows 资源管理器打开文件时能打开正确的程序。此项有时缩写为“HKCR”。
2.  HKEY\_CURRENT\_USER：包含当前登录的用户的配置信息的根目录。该用户的文件夹、屏幕颜色和“控制面板”设置都存储在这里。这些信息与用户的配置文件相关联。此项有时缩写为“HKCU”。
3.  HKEY\_LOCAL\_MACHINE：包含特定于计算机的配置信息（用于任何用户）。此项有时缩写为“HKLM”。
4.  HKEY\_USERS：包含计算机上的所有以活动方式加载的用户配置文件。HKEY\_CURRENT\_USER 是 HKEY\_USERS 的子项。HKEY\_USERS 有时缩写为“HKU”。
5.  HKEY\_CURRENT\_CONFIG：包含有关本地计算机在系统启动时使用的硬件配置文件的信息。
6.  HKEY\_DTN\_DATA：动态信息，包括即插即用的硬件信息。（仅存在于 Windows 95 及 98 中）

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]**HKEY\_LOCAL\_MACHIN和HKEY\_USERS**根键是注册表中的两大根键，其余的根键都是他们派生的，实际上他们都是这两大根键下面的某些自键的映射。如HKEY\_CLASS\_ROOT是HKEY\_LOCAL\_MACHINE下SOFTWARE/Classes子键的映射，HKEY\_CURRENT\_CONFIG根键是HKEY\_LOCAL\_MACHINE下Config子键的映射。

#### 注册表本质 ####

我们看到的注册表结构是经过注册表编辑器读取之后呈现给我们的，其磁盘形式并不是一个简单的大文件，**而是一组称被为HⅣE的单独文件形式**，HⅣE中文名曰“储巢”。每个HⅣE文件可以被理解为一棵单独注册表树，就像Windows的PE格式一样，它也有自己的组织形式。

### 注册表编程 ###

在下面的表哥中列出了注册表中常用的API及其功能。

<table> 
 <thead> 
  <tr> 
   <th>API</th> 
   <th>功能</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>RegCreateKey</td> 
   <td>创建一个KEY，并返回相应的HKEY</td> 
  </tr> 
  <tr> 
   <td>RegOpenKey</td> 
   <td>打开注册表，得到一个HKEY，用来作为下面这些函数的第一个参数。</td> 
  </tr> 
  <tr> 
   <td>RegOpenKeyEx</td> 
   <td>同RegOpenKey类似，一般很少用，增加了一个访问控制类型参数。</td> 
  </tr> 
  <tr> 
   <td>RegSetValue</td> 
   <td>设置一个HKEY的默认值</td> 
  </tr> 
  <tr> 
   <td>RegSetValueEx</td> 
   <td>设置一个HKEY除默认值以外其它的值</td> 
  </tr> 
  <tr> 
   <td>RegQueryValue</td> 
   <td>获取一个HKEY的默认值</td> 
  </tr> 
  <tr> 
   <td>RegQueryValueEx</td> 
   <td>获取一个HKEY除默认值以外其它的值</td> 
  </tr> 
  <tr> 
   <td>RegDeleteKey</td> 
   <td>删除一个KEY，此KEY不能包含子KEY</td> 
  </tr> 
  <tr> 
   <td>SHDeleteKey</td> 
   <td>删除一个KEY以及所有子KEY</td> 
  </tr> 
  <tr> 
   <td>RegDeleteValue</td> 
   <td>删除KEY里面的值</td> 
  </tr> 
  <tr> 
   <td>RegCloseKey</td> 
   <td>关闭注册表</td> 
  </tr> 
 </tbody> 
</table>

### 开机启动 ###

#### Windows通过注册表设置开机启动 ####

在注册表中定位到“计算机\\HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"，可以看出VBoxTRay会在开机时候启动。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]  
查看进程如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]如果想要仅下一次开机运行，之后都不再运行可以在“计算机\\HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnce”中操作。

### 开机启动源代码 ###

下面的代码通过开机自启动execel和本应用程序，使用的方式是在键"\\HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"写值。同时，还有注册表常用的一些操作。

#include <Windows.h>
    #include <iostream>
    
    
    using namespace std;
    
    int WriteReg(char* path, char* key, char* value);
    
    /************************************ @ Brief: 开机启动 @ Author: 无情剑客 @ Created: 2020/08/25 传统节日七夕 @ Return: ************************************/
    void autostart()
    { 
    	//1. 开启启动execel
        WriteReg("SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run", "execel", "C:\\Program Files (x86)\\Office 2007\\Office12\\EXCEL.exe");
        //2、得到本程序自身的全路径
        TCHAR strExeFullDir[MAX_PATH];
        GetModuleFileName(NULL, strExeFullDir, MAX_PATH);
        //3. 开机启动当前程序
        WriteReg("SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run", "Register", strExeFullDir);
    }
    
    /************************************ @ Brief: 打开注册表，读取Key对应value @ Author: 无情剑客 @ Created: 2020/08/25 传统节日七夕 @ Return: ************************************/
    int ReadReg(char* path, char* key, char* value)
    { 
    	HKEY hKey;
    	int ret = RegOpenKeyEx(HKEY_CURRENT_USER, path, 0, KEY_EXECUTE, &hKey);
    	if (ret != ERROR_SUCCESS)
    	{ 
    		cout << "打开注册表失败" << endl;
    		return 1;
    	}
    
    	//读取KEY
    	DWORD dwType = REG_SZ; //数据类型
    	DWORD cbData = 256;
    	ret = RegQueryValueEx(hKey, key, NULL, &dwType, (LPBYTE)value, &cbData);
    	if (ret == ERROR_SUCCESS)
    	{ 
    		cout << value << endl;
    	}
    	else
    	{ 
    		cout << "读取注册表中KEY 失败" << endl;
    		RegCloseKey(hKey);
    		return 1;
    	}
    	RegCloseKey(hKey);
    
    	return 0;
    }
    
    /************************************ @ Brief: 写注册表，如不存在自动创建 @ Author: 无情剑客 @ Created: 2020/08/25 传统节日七夕 @ Return: ************************************/
    int WriteReg(char* path, char* key, char* value)
    { 
    	HKEY hKey;
    	DWORD dwDisp;
    	DWORD dwType = REG_SZ; //数据类型
    
    	int ret = RegCreateKeyEx(HKEY_CURRENT_USER, path,0, NULL, REG_OPTION_NON_VOLATILE, KEY_ALL_ACCESS, NULL, &hKey, &dwDisp);
    	if (ret != ERROR_SUCCESS)
    	{ 
    		cout << "创建注册表失败" << endl;
    		return 1;
    	}
    	ret == RegSetValueEx(hKey, key, 0, dwType, (BYTE*)value, strlen(value));
    	if (ret != ERROR_SUCCESS)
    	{ 
    		cout << "注册表中创建KEY VALUE失败" << endl;
    		RegCloseKey(hKey);
    		return 1;
    	}
    	RegCloseKey(hKey);
    	return 0;
    }
    
    /************************************ @ Brief: 删除注册表 @ Author: 无情剑客 @ Created: 2020/08/25 传统节日七夕 @ Return: ************************************/
    int DelReg(char* path)
    { 
    	int ret = RegDeleteKey(HKEY_CURRENT_USER, path);
    	if (ret == ERROR_SUCCESS)
    	{ 
    		cout << "删除成功" << endl;
    	}
    	else
    	{ 
    		cout << "删除失败" << endl;
    		return 1;
    	}
    	return 0;
    }
    
    int main(int argc, char * argv[])
    { 
    	char value[32] = { 0};
    
        autostart();
    	WriteReg("Software\\burning", "微信公众号", "无情剑客");
        ReadReg("Software\\burning", "微信公众号", value);
    
        // C++ 程序暂停，等待用户输入回车后再继续执行
        cin.get();
    	return 0;
    }

运行结果如下，当开机之后，Register程序和execl的都启动起来了。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]

### 写在最后 ###

注册表之强大超出想象。玩过Dota的都知道Win7之后，游戏不能全屏，其实游戏画面的分辨率就是在注册表中设置的，因此可以通过注册表来实现全屏，文件关联设置也可以通过注册表来实现，Windows的用户帐号密码也都在注册表中有记录，当然密码是散列的，还有很多强大的功能。。。

注册表设置开机启动，很容易被检测出来，但是如果把进程隐藏起来，甚至于注册表文件隐藏起来，那就不是很容易检测了。

### 公众号 ###

更多内容，欢迎关注我微信公众号:无情剑客。

![在这里插入图片描述][2020082620062926.jpg_pic_center]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/98ec44efd32543ec87449efe90116681.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221123/b157b09d70bd41b1b4a41c2dd5d9d9b5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221123/a939af1bfc8c4d67851155e2d943a7e0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221123/eb7b8f7e234a4fbe9a1aea7281893ffb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221123/c09c9b59714e42c5a0313dfdf954bf77.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221123/ec48a06306334875ab4fd970a4ae403d.png
[2020082620062926.jpg_pic_center]: /images/20221123/d1c08c02ba764330be05a0116a379358.png