如何从用户配置服务器的NTUSER.DAT中获取映射网络驱动器信息

原脚本常见问题 #

• 路径格式错误：原脚本中拼接的NTUSER.DAT路径带多余空格，会直接导致reg load找不到文件报错
• 挂载路径冲突：直接用用户SID作为HKU下的挂载键，如果当前系统已经加载了同SID的用户hive，会直接加载失败
• 提取路径不全：仅导出HKU\XXX\Network注册表项，会遗漏大部分动态映射的网络驱动器配置（这类配置实际存在于Volatile Environment、MountPoints2路径下）
• 缺少异常兜底：如果注册表句柄未释放，直接执行reg unload会报错，且残留的挂载hive会一直锁着源NTUSER.DAT文件

修正后可运行脚本 #

执行前提：操作账号需具备域管理员权限、对用户配置共享的读取权限、本地注册表hive加载/卸载权限

# 基础配置
$userConfigShare = "\\serverprofile\drive$"
$outputRoot = "C:\Temp\UserNetInfo"
# 初始化输出目录
if (-not (Test-Path $outputRoot)) {
    New-Item -Path $outputRoot -ItemType Directory -Force | Out-Null
}

# 遍历目标用户（去掉Filter参数即可批量遍历所有AD域用户）
Get-ADUser -Filter {SamAccountName -eq "admin"} -Properties SID | ForEach-Object {
    $currentUser = $_
    $userSID = $currentUser.SID.Value
    $userName = $currentUser.SamAccountName
    $ntuserPath = Join-Path $userConfigShare "$userName\NTUSER.DAT"
    # 用带SID的临时挂载路径，避免和系统已加载的注册表键冲突
    $loadRegPath = "HKU\Temp_$userSID"

    # 跳过无对应配置文件的用户
    if (-not (Test-Path $ntuserPath)) {
        Write-Warning "未找到用户 $userName 的NTUSER.DAT文件，跳过处理"
        return
    }

    try {
        Write-Host "开始加载用户 $userName 的注册表hive"
        reg load $loadRegPath $ntuserPath | Out-Null

        # 覆盖所有和网络驱动器映射相关的注册表路径
        $regExtractPaths = @(
            "$loadRegPath\Network",
            "$loadRegPath\Volatile Environment",
            "$loadRegPath\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2"
        )

        # 创建对应用户的输出目录
        $userOutputDir = Join-Path $outputRoot $userName
        if (-not (Test-Path $userOutputDir)) {
            New-Item -Path $userOutputDir -ItemType Directory -Force | Out-Null
        }

        # 逐个导出注册表项
        foreach ($path in $regExtractPaths) {
            $saveFile = Join-Path $userOutputDir "$($path.Split('\')[-1]).reg"
            reg export $path $saveFile /y | Out-Null
        }

        # 等待注册表句柄释放，降低卸载失败概率
        Start-Sleep -Seconds 2
        [GC]::Collect()
        [GC]::WaitForPendingFinalizers()

        Write-Host "开始卸载用户 $userName 的注册表hive"
        reg unload $loadRegPath | Out-Null
    }
    catch {
        Write-Error "处理用户 $userName 时出错：$_"
        # 异常场景下强制卸载残留挂载，避免锁文件
        reg unload $loadRegPath 2>$null | Out-Null
    }
}

关键优化点 #

• 用Join-Path拼接所有文件路径，彻底避免空格、斜杠不匹配导致的路径错误
• 临时挂载路径独立于系统原生的HKU键结构，不会因为现有已加载的同SID配置触发权限冲突
• 补全三类网络驱动器的关联注册表路径，提取的信息覆盖固定映射、登录动态映射、Shell挂载的网络位置全量场景
• 增加异常兜底逻辑，即使处理流程中断，也会尝试卸载临时挂载的注册表项，避免源NTUSER.DAT被长期锁定
• 增加句柄等待、垃圾回收步骤，大幅降低reg unload时的“注册表项正在被使用”类报错

内容的提问来源于stack exchange，提问作者TechBaba