Se eu abrir oregistro com a conta SYSTEMno Windows usando oFerramenta PSExec da SysInternals:
psexec -i -s regedit
e altero uma entrada, por exemplo, aqui:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
... Presumo que um NTUSER.DAT
arquivo correspondente será modificado.
Qual é o caminhopara este NTUSER.DAT
arquivo?
Responder1
Ao contrário da intuição comum, o ntuser.dat
arquivo na pasta de perfil do usuário do LocalSystem ( \Windows\System32\config\systemprofile
) énãoa fonte de HKEY_CURRENT_USER
aplicativos executados como SYSTEM. Pelo que sei, na verdade não é usado para nada e contém muito pouca informação.
Na realidade, o HKCU para aplicativos executados como SYSTEM está .DEFAULT
abaixo do HKEY_USERS
. (Vou abordar outro equívoco comum:.DEFAULT
não é o modelo para novos perfis de usuário, ntuser.dat
em \Users\Default
is.) .DEFAULT
é armazenado no disco em um arquivo chamado \Windows\System32\config\DEFAULT
. Vero artigo do MSDN sobre arquivos de suporte do registro.
Também interessante: a lista dos arquivos de apoio para as diversas hierarquias do Registro, incluindo .DEFAULT
, pode ser encontrada em HKLM\SYSTEM\CurrentControlSet\Control\hivelist
.