许多 Windows 黑客和调整都涉及修改注册表。通常，它涉及添加新键/值。但是，有时我想进行调整，但没有在线教程。
如果我想更改某个设置或行为，我该如何找到相关的键/值？我应该使用第三方注册表编辑器还是反编译器？
答案1
开始阅读微软技术网您将发现更多“隐藏”的注册表项/值。我不知道是否有关于全新安装后不存在的项的列表，但开始破解 Windows 后您将找到它们。
当我需要 Windows 的一些特殊功能/行为（或者只是想了解更多有关一些众所周知的功能）时，我会怎么做：
- 尝试从 google 和 stackexchange 查找它，也许有人已经做过这项工作。
- 尝试寻找其他方法来实现这一点，如果找到的话，我会尝试向他们学习。
- 查明是否有任何 Windows 操作系统可以做到这一点，并查明如何做到这一点。
- 使用 regedit 搜索注册表，发挥您的想象力。
- 尝试反汇编您想要修改/更好地理解的操作系统部分。如果失败/卡住，请寻找另一条路线并重新开始。
- 请记住，如果看起来无法完成，您仍然有很多选择：
1.编写自己的程序A）操纵现有的用户界面或b)创建新的 UI 或C）扩展你不喜欢的操作系统部分或d)替换您不喜欢的操作系统部分。
2.忘记了。
评论中已经提到，您应该阅读更多有关 Windows 内部结构的内容，并在找到一些特殊值时遇到一些实际问题后提出更具体的问题。我认为，如果您真的需要完整的注册表项/值列表，那么您应该自己制作一个（至少是部分列表），作为学习练习。
最后，以下是几行简单的内容logagent.exe：
0000:1188 | CryptUnprotectData..CryptPro
0000:11B4 | tectData....c.r.y.p.t.3.2...d.l.l...E.n.a.b.
0000:11E0 | l.e.N.e.g.o.t.i.a.t.e...S.o.f.t.w.a.r.e.\.M.
0000:120C | i.c.r.o.s.o.f.t.\.W.i.n.d.o.w.s.\.C.u.r.r.e.
0000:1238 | n.t.V.e.r.s.i.o.n.\.I.n.t.e.r.n.e.t. .S.e.t.
0000:1264 | t.i.n.g.s...=.".....r.e.a.l.m... ...,.;.....
0000:1290 | .......N.e.g.o.t.i.a.t.e...B.a.s.i.c. .....
0000:12BC | https://....D.e.l.e.t.e.....N.o.R.e.m.o.v.e.
0000:12E8 | ....F.o.r.c.e.R.e.m.o.v.e...V.a.l...B...D...
0000:1314 | S...................ì...Ø...È...ê¶..¯·..bü..
0000:1340 | I·..d·...·..à·...·..¦·...¹..bü...º..O¾..¶Ü..
0000:136C | .Ý..cÝ..!º..8º..`[..Dº..ú...º..O¾..¶Ü...Ý..
0000:1398 | cÝ...Ï..8º..VÏ..Dº.. [proxy]...:././...1.2.
0000:13C4 | 7...0...0...1...d.o.o.G.....d.r.o.w.s.s.a.P.
0000:13F0 | ....r.e.s.U.....h.t.a.P.....\...SOFTWARE\Mic
0000:141C | rosoft\Windows Media\WMSDK\etacsufbO.... .:.
0000:1448 | ... .?. ...?. .....L.o.a.d.C.r.e.d.e.n.t.i.
0000:1474 | a.l.s...................ì...Ø...È...^..n..5N
0000:14A0 | ·.jC/.ËôWNetRemoveCachedPassword....WNetCach
0000:14CC | ePassword...WNetGetCachedPassword...mpr.dll.
0000:14F8 | PStoreCreateInstance....pstorec.dll.DisableP
0000:1524 | asswordCaching..SOFTWARE\Microsoft\Windows M
0000:1550 | edia\WMSDK..A.c.c.e.s.s.P.e.r.m.i.s.s.i.o.n.
0000:157C | ....A.P.P.I.D.\.{.%.s.}.....A.P.P.I.D.\.%.s.
0000:15A8 | ....L.a.u.n.c.h.P.e.r.m.i.s.s.i.o.n.........
0000:15D4 | ............Ðñ..Áñ...ò...ñ..1ì......Zé..?é..
0000:1600 | ßñ...é..Kê..ßé...í..Xê..iê..Ïò..sê...ê...ë..
0000:162C | 9ë..'ì...(..hò..................ì...Ø...È...
0000:1658 | +...._..÷....ø..3ô..J...a...............¢...
0000:1684 | ....K.......Ý.......à...¹...Z.......äô..#ö..
0000:16B0 | .õ...÷..{ü...ü...ü..ïû..bü..Wü..Wü...ü...ü..
0000:16DC | °û..WSAJoinLeaf.WSARecvFrom.WSARecv.WSAConne
0000:1708 | ct..WSASocketA..WSASendTo...WSASend.WSAIoctl
0000:1734 | ....WSAEnumProtocolsA...ws2_32..U.s.e. .T.r.
0000:1760 | a.n.s.m.i.t.P.a.c.k.e.t.s.......S.o.f.t.w.a.
0000:178C | r.e.\.M.i.c.r.o.s.o.f.t.\.W.i.n.d.o.w.s. .M.
0000:17B8 | e.d.i.a.\.P.l.a.t.f.o.r.m...Æô..._..Õô..Þ...
0000:17E4 | ....+...._..÷...........J...a...............
0000:1810 | ¢.......K.......Ý.......à...¹...Z.......;...
0000:183C | ........................ì...Ø...È...w>.ÍÖfdF
0000:1868 | .Ç6Û¶AÐñS.o.f.t.w.a.r.e.\.M.i.c.r.o.s.o.f.t.
0000:1894 | \.W.i.n.d.o.w.s. .M.e.d.i.a.\.W.M.S.D.K.\.N.
0000:18C0 | A.T.P.o.r.t.M.a.p.p.i.n.g.s.....U.D.P...T.C.
0000:18EC | P...%.x. .%.s. .%.u.....FreeAddrInfoW...GetA
0000:1918 | ddrInfoW....w.s.2._.3.2...d.l.l.....W.i.n.d.
0000:1944 | o.w.s. .M.e.d.i.a. .F.o.r.m.a.t. .S.D.K. .(.
0000:1970 | %.s.)...:.:.....:.:.1...0...0...0...0...?.#.
0000:199C | ....................ì...Ø...È...l...h...d...
0000:19C8 | `[email protected]
现在您有几行代码，该怎么办？如果幸运的话，值是用键硬编码的，可以通过查找记录字节序列然后找到正确的值从上面检索它们。您还可以尝试查找错误消息及其地址，以追踪程序的哪个部分抛出了它们（需要一些汇编技能，但如果不需要完全逆向工程/程序修改，那就不太难）。
答案2
我发现最好的方法是使用进程监控。