Qual é o caminho para a seção de registro NT AUTHORITY \ SYSTEM?

Se eu abrir o registro com a conta SYSTEM no Windows, usando a ferramenta PSExec da SysInternals :

psexec -i -s regedit

e altero uma entrada, por exemplo, aqui:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

... Presumo que um NTUSER.DATarquivo correspondente seja modificado.

Qual é o caminho para este NTUSER.DATarquivo?

windows windows-registry

— Sopalajo de Arrierez
fonte

Eu acho que é c: \ windows \ system32 \ config \ systemprofile.

— 28914 LawrenceC

Qual versão do Windows?

— Twisty Imitador de

Bem, @ultrasawblade, na verdade há um ntuser.datarquivo lá. Estou tentando procurá-lo na ferramenta do linux chntpwpara verificar o que é, mas a árvore chave \Software\Microsoft` only contains a tree named CTF . There is nothing about the rest of the HKEY_CURRENT_USER`.

— Sopalajo de Arrierez

@ Twisty, estou testando esse assunto com o Windows XP SP3 e Windows 7. Acho que a maioria das versões do Windows se comporta da mesma maneira.

— Sopalajo de Arrierez

Não é verdade. Acredito que o Windows 7 armazena as seções de registro LocalSystem e NetworkService em 'C: \ Windows \ ServiceProfiles \ LocalService \ ntuser.dat' e C: \ Windows \ ServiceProfiles \ NetworkService \ ntuser.dat 'respectivamente. Essas pastas não existem no XP.

— Twisty Imitador de

Ao contrário da intuição comum, o ntuser.datarquivo na pasta de perfil de usuário do LocalSystem ( \Windows\System32\config\systemprofile) não é a fonte dos HKEY_CURRENT_USERaplicativos em execução como SYSTEM. Até onde eu sei, não é realmente usado para nada e contém muito pouca informação.

Na realidade, o HKCU para aplicativos em execução como SYSTEM está .DEFAULTabaixo HKEY_USERS. (Abordarei outro equívoco comum: .DEFAULT não é o modelo para novos perfis de usuário , ntuser.datem \Users\Defaulté.) .DEFAULTÉ armazenado no disco em um arquivo chamado \Windows\System32\config\DEFAULT. Consulte o artigo do MSDN sobre arquivos de backup do Registro .

Também interessante: a lista dos arquivos de backup para as várias hierarquias do Registro, incluindo .DEFAULT, pode ser encontrada em HKLM\SYSTEM\CurrentControlSet\Control\hivelist.

— Ben N
fonte

Espera-se que isso seja válido para qualquer versão do Windows?

— Sopalajo de Arrierez 17/09/2015

@SopalajodeArrierez Essencialmente sim, a partir do Windows NT e sobre, com a substituição adequada de \WinNTpara \Windowse \Documents and Settingspara \Userso Windows XP. Outras leituras na TechNet

— Ben N