| 主键 | HKLM 下 CurrentVersion 的 Run |
|---|---|
| 用户键 | HKCU 同名路径与各用户 hive |
| 64 位 | Wow6432Node 下同名键 |
| 补充 | RunOnce 执行一次即删 |
导出并审阅启动项
导出并审阅启动项
Get-ItemProperty 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run' | Format-List
Get-ItemProperty 'HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run' | Format-List
Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Run' | Format-List
reg export HKLM\Software\Microsoft\Windows\CurrentVersion\Run D:\evidence\run_hklm.reg取证时先 reg export 导出原始键值再删项：注册表内容就是证据。