是否可以在该用户注销后读取/打开用户密钥(HKEY_USERS中的密钥并以 s-1-5-21xxx 开头）

Is it possible to read/open an user key (those key in HKEY_USERS and start with s-1-5-21xxx) after that user logoff

本文关键字：USERS HKEY 开头 s-1-5-21xxx 密钥 用户密钥 用户注销 读取 是否      更新时间：2023-10-16

我想知道在该用户注销后是否可以找到特定用户的注册表？

我注意到用户注销后，相应的键 int HKEY_USERS 将消失（例如，HKEY_USERSS-1-5-21-245205834-4096572605-1844777647-1002对应于用户帐户AAA，AAA注销后，此键也将消失）。

这个注册表包含我需要的一些信息，所以无论用户登录与否，我都想阅读/打开它，我想以 C/C++ 的方式进行，我很感激任何可能的解决方案。

用户的注册表配置存储在NTUSER.DAT文件中。此文件可以为您提供所需的用户HKEY_CURRENT_USER。该文件存储在用户的配置文件目录中。

来自 MSDN，

注册表配置单元。注册表配置单元是文件 NTuser.dat。蜂巢是 由系统在用户登录时加载，并映射到 HKEY_CURRENT_USER注册表项。用户的注册表配置单元维护 用户的基于注册表的首选项和配置。

注意：如果文件已挂载，则文件将被锁定，即如果用户已登录，则无法访问该文件。因此，在加载文件之前，您应该通过打开相应的HKCU来检查用户是否已登录。

好读： https://social.msdn.microsoft.com/Forums/vstudio/en-US/d0d485b8-c3d1-49d0-8180-0515d9cfb04e/read-and-modify-ntuserdat-file?forum=csharpgeneral

相关文章：