如何通过WinAPI判断虚拟注册表配置单元及关联引用关系

一、精准搜索关键词推荐 #

之前没找到结果大概率是关键词不够贴合Windows内核/注册表的专业术语，试试这些组合：

• Windows virtual registry hive detection WinAPI
• Boot-time generated registry hive identification
• Win32 API check if registry hive is virtual vs physical
• Registry hive symbolic link detection WinAPI
• NtQueryKey hive virtual status

这些词直接命中「虚拟配置单元」「启动阶段生成」「WinAPI检测」「引用/符号链接」这些核心点，更容易找到微软文档或社区技术讨论。

二、判断是否为启动阶段生成的虚拟配置单元 #

Windows启动阶段生成的虚拟配置单元本质是仅存在于内存、未关联物理磁盘文件的hive（或是临时映射的内存镜像），可以通过以下WinAPI思路检测：

1. 使用原生NTAPI NtQueryKey，指定KeyBasicInformation或KeyFullInformation类，查看返回的KEY_BASIC_INFORMATION结构体中的FileName字段——虚拟hive通常没有关联的磁盘文件名，或者FileName是系统内部的临时路径（比如\Device\Memory相关路径）。
2. 尝试调用RegSaveKey API：虚拟配置单元无法被保存到磁盘（会返回ERROR_BAD_ENVIRONMENT或类似错误），而物理磁盘上的hive（如SAM、SECURITY）在权限足够时可以成功保存（或返回权限相关错误，但不是无法保存的本质性错误）。
3. 检查HKLM\SYSTEM\CurrentControlSet\Control\hivelist条目：启动阶段生成的虚拟hive通常会被标记为临时项，你可以枚举这个键下的所有值，对比目标hive的路径是否在临时类型的条目里。

三、判断注册表配置单元是否为其他单元的引用 #

注册表中的「引用」通常指符号链接（Symbolic Link），可以通过以下方法检测：

1. 使用RegQueryKeyEx查询KEY_LINK_INFORMATION：调用时指定KEY_QUERY_VALUE权限，查询LinkTarget相关信息，如果返回成功且目标路径有效，说明当前hive是一个链接引用。
2. 原生API NtQueryKey搭配KeyLinkInformation类：返回的KEY_LINK_INFORMATION结构体包含TargetName字段，直接指向被引用的原始配置单元路径。
3. 辅助验证（可选）：如果允许调用命令行工具，执行reg query <目标路径> /reg:64（根据系统位数调整），若是链接项，会显示「Symbolic Link to <目标路径>」的提示——当然直接用API检测会更可靠。

另外补充：对于物理磁盘上的SAM、SECURITY等hive文件，你可以通过RegLoadKey挂载离线hive，然后对比在线（启动时加载的）hive的LastWriteTime或哈希值，确认在线hive是否是磁盘文件的映射（而非虚拟生成的）。

内容的提问来源于stack exchange，提问作者Александр Щетнев