Реестр это база данных, в которой хранятся аппаратные и программные параметры операционной системы Windows.

Реестр операционной системы Windows содержит следующую информацию:

• профили пользователей
• установленные программы
• запуск программ
• значки программ
• вхождение пользователя в систему
• даты и время выключения системы
• сетевые настройки
• адреса сайтов
• использование браузера
• информация об использовании Wi-Fi
• ассоциированные файлы с расширениями
• установленное оборудование
• часовая зона
• даты и время подключения USB-носителей
• использование поиска
• свойства папок

Реестр также может выступать в некотором роде в качестве лог-файла, в котором отражены изменения в системе после действий пользователя.

Реестр Windows состоит из пяти разделов:

1. HKEY_CLASSES_ROOT (аббревиатура HKCR), содержит информацию для запуска программ
2. HKEY_CURRENT_USER (аббревиатура HKCU), содержит конфигурацию пользователя, вошедшего в систему
3. HKEY_LOCAL_MACHINE (аббревиатура HKLM), содержит параметры конфигурации компьютера для всех пользователей
4. HKEY_USERS (аббревиатура HKU), содержит активные профили пользователей
5. HKEY_CURRENT_CONFIG (аббревиатура HKCC)

Посмотреть полный список разделов реестра можно здесь — HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\hivelist

Файлы реестра могут храниться в четырёх форматах:

1. в формате простого текста с кодировкой ASCII (можно открыть в любом текстовом редакторе)
2. в бинарном формате (базы данных реестра)
3. в шестнадцатеричном формате (хекс)
4. в BLOB-формате

Для редактирования реестра в Windows есть специальная программа Regedit (в левой части размещаются разделы и подразделы, в правой части — параметры), а также две консольные программы — Reg.exe и Regini.exe.

Существуют также бесплатные сторонние программы для работы с реестром Windows:

• Registry Explorer    https://www.sans.org/tools/registry-explorer/   (по состоянию на 30 марта 2025 года)
• RegRipper    https://github.com/keydet89   (по состоянию на 4 августа 2024 года)

Для работы с реестром Windows можно использовать следующие команды в командной строке:

• reg copy
• reg delete
• reg load
• reg query
• reg restore
• reg save
• reg unload

Корневые разделы реестра имеют числовые обозначения (константы):

• HKEY_CLASSES_ROOT 0x80000000
• HKEY_CURRENT_USER 0x80000001
• HKEY_LOCAL_MACHINE 0x80000002
• HKEY_USERS 0x80000003
• HKEY_PERFORMANCE_DATA 0x80000004
• HKEY_PERFORMANCE_TEXT 0x80000050
• HKEY_PERFORMANCE_NLSTEXT 0x80000060
• HKEY_CURRENT_CONFIG 0x80000005
• HKEY_DYN_DATA 0x80000006
• HKEY_CURRENT_USER_LOCAL_SETTINGS 0x80000007