应急响应-GHO提取注册表快照
前言
备份文件.gho中找到机器的注册表
文件夹位置
在 C:\WINDOWS\SYSTEM32\CONFIG 下就是系统的注册表，一般情况下，这里面会有以下几个文件：
default 默认注册表文件
SAM 安全账号管理（如果忘记了密码或找回密码其实就是对这个文件的操作） SECURITY 安全方面的注册表设置
software 应用软件注册表
system 系统注册表
对应关系：
system文件对应HKEY_LOCAL_MACHINE\SYSTEM
software对应HKEY_LOCAL_MACHINE\SOFTWARE
恢复与查找工具
-
文件 -> 加载配置单元(选择要加载的相关的注册表的文件) -> 输入一个节点的名称
-
使用Registry Workshop查找时间线
