读取远程注册表
远程读取注册表有两条常用途径：CMD 里用 reg query 加双反斜杠主机前缀，一行就能读到值；PowerShell 里则用 OpenRemoteBaseKey 做程序化读取，适合批量盘点。两者都依赖目标机的 Remote Registry 服务，而该服务在客户端默认禁用、服务器默认手动启动，安全基线里常常被关掉，所以连接失败时先查服务状态，别急着怀疑网络。
基本信息
| 适用平台 | Windows 客户端与服务器 |
|---|---|
| CMD 方式 | reg query \\主机\HKLM\路径 /v 值名 |
| PowerShell 方式 | [Microsoft.Win32.RegistryKey]::OpenRemoteBaseKey('LocalMachine','主机') |
| 依赖服务 | Remote Registry（RemoteRegistry） |
| 权限 | 需要目标机管理员或相应委派权限 |
典型使用场景
- 批量盘点多台机器的软件安装项或关键配置值
- 排查某台机器的启动项、服务配置，而不用登录过去
- 核对统一部署后配置是否真的写进了目标机
- 采集资产信息时的只读查询，避免改动远端系统
- 定位远程读注册表失败，逐步排除服务、权限与路径写法
- 对比多台机器的同一个配置值，找出偏离基线的例外机器
常用示例
常用示例
# CMD 一行读取（注意双反斜杠与 HKLM 前缀）
reg query \\web01\HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
reg query \\web01\HKLM\SYSTEM\CurrentControlSet\Services\Spooler /v Start
# PowerShell 程序化读取
$base = [Microsoft.Win32.RegistryKey]::OpenRemoteBaseKey('LocalMachine', 'web01')
$key = $base.OpenSubKey('SOFTWARE\Microsoft\Windows NT\CurrentVersion')
$key.GetValue('ProductName')
# 先确认依赖服务是否可用（在目标机上）：Get-Service RemoteRegistry要点对照
| 项目 | 内容 | 注意 |
|---|---|---|
| reg query | CMD 远程读取 | 写成 HKEY_LOCAL_MACHINE 会解析失败 |
| OpenRemoteBaseKey | PowerShell 程序化读取 | 读取完成后关闭基键 |
| Remote Registry 服务 | 远程访问的前提 | 客户端默认禁用，服务器默认手动 |
| 权限 | 目标机管理员 | 跨域场景需要明确凭据 |
只读排查优先用远程读取；需要修改远端注册表时，建议进 Invoke-Command 在目标机本地执行，改动更容易审计，也能避开双反斜杠路径带来的歧义。
安全基线通常关闭远程注册表服务，因此脚本应先检查服务状态并给出明确提示，而不是抛出一个含义模糊的连接失败信息。批量操作时还要注意并发规模，同时连太多目标会被目标机的连接数限制挡下来。