我可以在哪裏找到用戶註冊表數據上的unlogd？

Question

我知道HKEY_CURRENT_USER實際上是一個指向HKEY_USERS中的內置用戶的特定SID的指針。 HKEY_USER只保存一次列表中的用戶。你知道哪裏可以找到unloged-on用戶註冊表數據？

Answer 1

HKEY_USERS hive包含所有用戶的數據。 HKEY_USERS下的每個子配置單元均按用戶的SID命名幷包含用戶特定的數據。當用戶登錄到系統時，Windows將相應的登錄用戶的SID從HKEY_USERS加載到HKEY_CURRENT_USER。

因此，如果您想訪問其他（未登錄）用戶的數據，可以通過直接訪問HKEY_USERS \ sid-of-user \ hive來完成。現在，問題是如何獲取用戶名的SID？爲此，您需要枚舉HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ ProfileList配置單元。此配置單元下的每個註冊表項都是SID。值ProfileImagePath給出與其關聯的用戶名。

實例：
http://support.microsoft.com/kb/154599
http://support.microsoft.com/kb/243330