Não é possível carregar ntuser.dat para um usuário não registrado no momento

Question

Eu tenho uma máquina com Windows XP com 2 contas:

1. "Usuário" - acesso limitado
2. "Admin" - tem uma senha strong

O usuário recebeu um vírus que bloqueou o acesso. Eu loginei como Admin e iniciei o regedit. Eu tentei carregar HKEY_CURRENT_USER para "Usuário", usando estas instruções:

1. Destaque HKEY_USERS e selecione Carregar seção no menu Registro.

2. Navegue até o diretório do perfil e selecione ntuser.dat ou, se estiver editando um perfil obrigatório, o arquivo será chamado ntuser.man

3. Quando solicitado pelo nome da chave, insira seu nome de usuário. O editor irá inserir os dados do Registro do usuário em HKEY_USERS sob o nome do usuário.

4. Faça as alterações no registro localizado sob essa nova chave.

5. Depois de concluir todas as alterações no registro, realce a chave correspondente ao nome de usuário e selecione a opção Descarregar seção no menu Registro.

link

Mas falhou:

Elediz:"Não é possível carregar o erro ntuser.dat.LOG: ao carregar a seção". Este arquivo realmente existe e tem tamanho 0. Não há nenhuma subárvore User sob HKEY_USERS, então presumo que a seção Users não esteja carregada para Admin:

Então comecei pelo Live CD e lancei o regedit lá. Consegui carregar ntuser.dat corretamente e excluir o vírus do carregamento automático para o usuário.

1. Como eu poderia fazer isso da conta de administrador?
2. Por que o erro surgiu?

Answer 1

O problema é que você está tentando montar o arquivo LOG . Você precisa montar ntuser.dat , não ntuser.dat.log .

Como você disse acima, você conseguiu montar a colméia com sucesso, então não há problema; não há nenhum problema com o arquivo de log sendo vazio, isso significa apenas que as alterações de registro pendentes foram liberadas para a seção quando você desligou pela última vez. ^{[1] [2] [3] [4]}

Além disso, eu prefiro a ferramenta de linha de comando para montar seções de registro:

C:\>reg load hku\z "C:\Documents and Settings\Userhku\z\ntuser.dat"

The operation completed successfully.


C:\>regedit

::You can navigate to HKEY_USERS\z in REGEDIT to view the mounted hive


C:\>reg unload hku\z

The operation completed successfully.