注册表研究涵盖结构演化与恶意行为检测两方向：一是分析XP至11各版本hive文件差异、API导出精度变化及WOW64重定向机制；二是基于ETW日志构建行为图谱，结合高危路径白名单与时序异常识别持久化攻击。
一、注册表结构演化与跨版本兼容性研究
Windows注册表自Windows 95引入以来，其物理存储格式、逻辑组织方式及访问机制在NT内核、Vista、10、11等版本中持续演进。该方向聚焦注册表配置单元（hive）文件结构变化、内存映射机制差异及跨平台迁移时的元数据一致性问题。
1、提取Windows XP、Windows 7、Windows 10和Windows 11系统中C:\Windows\System32\Config\下的SAM、SYSTEM、SOFTWARE等hive文件进行二进制对比分析。
2、使用RegSaveKeyEx API与reg export命令导出相同路径键值，比对REG_BINARY字段长度、时间戳精度（100纳秒 vs 毫秒级）、空值填充模式差异。
3、在x64系统中分别以本机模式和WOW64模式运行RegEdit.exe，观察HKEY_LOCAL_MACHINE\Software下键值是否自动重定向至WOW6432Node分支并记录重定向触发阈值。
二、注册表恶意行为建模与异常检测方法
大量APT组织与勒索软件通过修改Run、Winlogon、Services等关键路径实现持久化驻留。该方向基于注册表键值操作序列构建行为图谱，利用时间戳偏移、值类型突变、访问权限异常等维度识别隐蔽篡改。
1、采集已知恶意样本（如Emotet、QakBot）在沙箱中执行时通过RegSetValueEx、R
2、定义“高危键路径集合”，包括HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run、HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit等23个路径，建立白名单匹配规则引擎。
3、对注册表项创建时间与最后写入时间差值进行统计，当|CreationTime − LastWriteTime|
三、注册表取证中的时间线重构技术
注册表键值自带Creation Time、Last Write Time、Last Access Time三个NTFS时间戳，但部分键（如NTUSER.DAT中RecentDocs）存在时间戳被覆盖或伪造现象。该方向研究多源时间锚点融合策略，提升用户活动时间线置信度。
1、使用Registry Explorer工具加载离线NTUSER.DAT，提取ShellBags子项中每个文件夹条目的LastWriteTime，并与对应磁盘MFT中同名目录的时间戳进行交叉验证。
2、针对USB设备连接记录（HKEY_LOCAL_MACHINE\SYSTEM\MountedDevices），解析Volume GUID字符串后缀的十六进制时间编码，将其转换为UTC时间并与事件日志ID 2003时间对齐。
3、当发现HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\TypedPaths下某URL的LastWriteTime早于系统安装时间时，判定该键值已被人工回填，剔除该时间点参与全局排序。
四、注册表权限模型与最小特权实施验证
Windows注册表采用ACL（访问控制列表）机制管理键值访问权限，但默认配置常存在过度授权问题。该方向量化分析标准用户账户对HKLM\Software\Classes等路径的实际读写能力边界，并提出动态权限收缩方案。
1、以标准用户身份运行PowerShell，执行Get-Acl -Path 'Registry::HKEY_LOCAL_MACHINE\Software\Classes' | Format-List，导出所有ACE（访问控制项）并统计允许/拒绝权限占比。
2、在组策略编辑器中启用“用户配置→管理模板→Windows组件→附件→记事本→防止访问注册表编辑器”策略，验证其是否真实阻断regedit.exe启动或仅隐藏GUI界面。
3、使用icacls命令对HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters设置S-1-5-32-573（Performance Log Users）组的READ_CONTROL权限，测试性能监视器是否仍能读取DNS服务器地址。
五、注册表键值压缩与存储效率优化研究
现代Windows系统注册表体积持续膨胀，典型企业终端HKLM\SOFTWARE分支可达800MB以上。该方向探索基于键名前缀树（Trie）与值数据字典编码的无损压缩算法，在保持RegQueryValueEx低延迟前提下降低磁盘占用。
1、使用RegLoadKey将离线SOFTWARE hive加载至HKEY_USERS\TestHive，遍历全部子键统计键名重复前缀长度分布，绘制Zipf律曲线。
2、对REG_MULTI_SZ类型值（如环境变量PATH）实施LZ4块压缩，设定滑动窗口大小为64KB，对比压缩率与解压耗时（要求RegQueryValueEx平均延迟≤1.2ms）。
3、在注册表编辑器中创建测试键HKEY_CURRENT_USER\TestCompression，写入1000个相同内容的REG_SZ值（名称为Val0001–Val1000），测量原始存储与启用键值共享（value sharing）后的磁盘空间差异。
