Existe alguma maneira de ler arquivos da seção do sistema dentro de um sistema inicializado?

Question

Existe alguma maneira de obter uma cópia de %systemroot%\system32\config\system , uma vez que o sistema esteja funcionando? Eu sei que o sistema operacional bloqueia esse arquivo para evitar que ele seja colocado na lixeira, mas tudo que preciso é poder lê-lo por tempo suficiente para pegar uma cópia. Talvez algo na 'API nativa' faria isso?

    

Answer 1

O motivo pelo qual você não pode copiar o arquivo não é um problema de permissão, ou o Windows é "protetor" sobre o arquivo; O problema é que o arquivo está sempre em uso (e, portanto, bloqueado) em um sistema em execução.

Quando carregado, o arquivo é mapeado para HKLM\System ; você pode usar reg.exe para exportar seu conteúdo, tanto em texto quanto em formato binário:

reg export HKLM\System system.reg
reg save HKML\System system.hiv

O primeiro pode ser aberto usando qualquer editor de texto; o último é um despejo binário completo e pode ser aberto carregando-o no REGEDIT.

Além disso, esteja ciente de que certas subchaves de HKLM \ System não estão armazenadas no disco, mas são populadas em tempo de execução pelo sistema operacional (a mais notória é CurrentControlSet ); então, despejar / salvá-los pode não fazer sentido algum.

    

Answer 2

Acho que você deseja os Serviços de cópia de sombra de volume .

Em uma plataforma de servidor, a interface da linha de comando Diskshadow está disponível.

    

Answer 3

A menos que você precise de uma cópia atualizada, às vezes pode ser mais simples simplesmente restaurar o arquivo do backup para um local diferente.