註冊表到底存在硬盤哪裡？不同 Windows 版本存儲結構差異巨大。本文整理 Win9x 與 NT 內核 (2000/XP/2003) 的註冊表文件位置、備份機制與恢復方法。

Win9x 系列 (95/98/Me)

文件	路徑	說明
系統註冊表	C:\Windows\SYSTEM.DAT	硬件配置、軟件設置、系統策略
用戶註冊表	C:\Windows\USER.DAT	當前用戶個性化設置
啟動備份	C:\WINDOWS\SYSBCKUP\rb***.cab	每天首次啟動自動備份
首次安裝備份	C:\SYSTEM.1ST	首次安裝完成後的純淨備份

恢復方法：DOS 模式下運行 scanreg /restore 選擇備份文件還原

Win2000 / XP / Server 2003 (NT 內核)

用戶配置文件 (用戶級註冊表)

文件	路徑	屬性
NTUSER.DAT	C:\Documents and Settings\用戶名\	用戶註冊表數據 (隱藏)
NTUSER.INI		配置信息 (隱藏)
ntuser.dat.LOG		事務日志 (隱藏)

系統配置文件 (機器級註冊表)

文件	路徑	說明
DEFAULT	C:\Windows\System32\config\	默認用戶配置模板
SAM		安全賬戶管理器 (密碼哈希等)
SECURITY		本地安全策略
SOFTWARE		軟件安裝/配置信息 (最大)
SYSTEM		硬件/驅動/服務/啟動配置 (核心)
AppEvent.Evt / SecEvent.Evt / SysEvent.Evt		應用/安全/系統事件日志
對應 .LOG 文件		各 hive 的事務日志
對應 .SAV 文件		系統備份副本 (最後已知正確配置)

關鍵差異：NT 內核註冊表文件運行時**獨佔鎖定**，無法用普通工具直接讀寫/複製，需用 RegEdit / API / 影子複製 / 離線掛載。

備份文件位置

• 系統備份：C:\Windows\Repair\ (安裝時快照，含 SAM/SECURITY/SOFTWARE/SYSTEM/DEFAULT)
• 系統還原點：C:\System Volume Information\_restore{...}\RP... (含註冊表備份)
• 手動導出：RegEdit → 文件 → 導出 (.reg 文本文件，可編輯/合並)

實用技巧

• 離線修改註冊表：PE 系統下 `reg load HKLM\OfflineSys C:\Windows\System32\config\SYSTEM` 掛載修改
• 註冊表碎片整理：`regedit /e backup.reg` 導出再導入可壓縮體積
• 權限審計：`regini` / `subinacl` 批量修改權限