Windows 取证55 条

注册表配置单元离线加载

离线分析先加载配置单元：reg load 把 hive 挂到分析机的临时键，只读即可避免污染原始证据。

用途	不启动系统审查注册表
对象	NTUSER.DAT / SYSTEM / SOFTWARE / UsrClass.dat

加载与卸载

reg load HKLM\X_SOFTWARE D:\Evidence\SOFTWARE
reg unload HKLM\X_SOFTWARE

加载副本而非原件，操作记录写入取证日志。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌