环境
系统：win10x64
描述
windows系统发生故障，无法正常启动时，一般需要从故障机中提取信息，用来分析或编辑以恢复系统正常运行。这些信息包括：windows系统日志、注册表信息等等。
下文简要介绍如何从故障机中提取此类信息。
windows系统日志
windows系统日志存放位置，以下evtx文件可以用windows事件查看器（eventvwr.msc）分析。
%SystemRoot%\System32\Winevt\Logs\Application.evtx
%SystemRoot%\System32\Winevt\Logs\Security.evtx
%SystemRoot%\System32\Winevt\Logs\Setup.evtx
%SystemRoot%\System32\Winevt\Logs\System.evtx在目录中可以找到“Application”、“Security”、“Setup”、“System”，分别对应应用程序日志、安全日志、安装日志、和系统日志，双击打开，默认在事件查看器中查看。
注册表
注册表在磁盘上并不是简单的一个大文件，而是一组称为储巢（hive）的独立文件。每个储巢包含了一棵注册表树，有一个键作为该树的根，或者作为该树的起点。子键和它们的值存储在根的下面。
储巢文件从故障机中提取后，使用注册表编辑器（regedit）加载。查看或者编辑结束后，卸载配置单元。
附：只有在HKEY_LOCAL_MACHINE与HKEY_USERS分支具备加载能力。
发布者：admin，转转请注明出处：http://www.yc00.com/web/1735098076a3790016.html
评论列表（0条）