Khi nào Windows ghi registry thay đổi vào đĩa?

TL; DR:

Tôi nhận thấy rằng nếu tôi thực hiện thay đổi sổ đăng ký và sau đó tắt cứng hệ thống Windows 10 của mình, thay đổi sổ đăng ký sẽ không xuất hiện sau khi khởi động lại.

Tôi cũng nhận thấy rằng việc xóa tệp ngủ đông có thể ảnh hưởng đến khả năng công cụ khôi phục Linux có thể thay đổi sổ đăng ký Windows ở trạng thái ngoại tuyến. Công cụ dường như không thể thực hiện các thay đổi liên tục sau khi xóa tệp ngủ đông. Tôi sẽ liệt kê các ví dụ cụ thể dưới đây.

Ví dụ 1:

• Tôi thêm khóa có tên "1111" vào "HKLM \ SOFTWARE". Sau đó tôi cứng nguồn xuống hộp của mình bằng cách giữ nút nguồn trong 5 giây.
• 
• Khi tôi kéo sổ đăng ký sao lưu, khóa đó và các giá trị của nó sẽ biến mất:
• 
• (Những hình ảnh này đã được chỉnh sửa cho mục đích định dạng)

Ví dụ 2 :

• Thực hiện thay đổi trong sổ đăng ký (sử dụng regedit)
• Ngủ đông hệ thống
• Khởi động vào công cụ khôi phục Linux
• Xóa tệp ngủ đông để gắn đĩa.
• Đọc sổ đăng ký windows (từ công cụ khôi phục)
• Thay đổi đăng ký đã biến mất.

Điều này có vẻ tương đương với một tắt cứng trên hộp.

Ví dụ 3:

tôi hiểu rồi người lạ hành vi khi tôi:

• Ngủ đông hộp
• Khởi động công cụ khôi phục Linux và xóa tệp ngủ đông
• Thay đổi sổ đăng ký (từ công cụ khôi phục)
• Khởi động lại hộp

Những thay đổi đó cũng không được phản ánh trong sổ đăng ký.

Vậy chuyện gì đang xảy ra ở đây?

• Khi nào Windows 10 ghi registry thay đổi vào đĩa?
• Tại sao việc xóa tệp ngủ đông (trong ví dụ 3) ngăn các thay đổi đăng ký được thực hiện từ công cụ khôi phục không được phản ánh trong lần khởi động tiếp theo?

Hy vọng sẽ có được một số làm rõ!

TL; DR: Tắt hệ thống của bạn đúng cách.

Ngủ đông không liên quan gì đến việc tắt, nó liên quan chặt chẽ đến việc tạm dừng RAM (ngủ) ngoại trừ nội dung của RAM được đẩy vào đĩa để đọc lại và hoạt động trở lại từ chính xác nơi hệ thống rời .

Nếu bạn muốn các thay đổi được duy trì thì bạn cần phải tắt chế độ ngủ đông và Windows Fastboot (là một tập hợp con của ngủ đông). Hoặc bạn thực sự có thể khởi động lại thay vì ngủ đông và khởi động lại.

Lý do thay đổi không được duy trì là vì chúng chưa được ghi vào đĩa ngoại trừ trong tập tin ngủ đông. Mà bạn đang xóa, có nghĩa là hệ thống tập tin có thể phải tự sửa chữa và quay trở lại trạng thái "đã biết trước".

Trong khi hệ thống ngủ đông, sẽ có một số cấu trúc hệ thống tệp chính có thể chưa được ghi ra đĩa và thay vào đó là trong RAM. Hệ thống sẽ, sau khi nối lại từ chế độ ngủ đông, hy vọng đĩa sẽ ở trạng thái rất đặc biệt và có thể bộ đệm đĩa và các tệp hệ thống quan trọng được lưu vào tệp ngủ đông thay vì vào đĩa thực.

Nếu bạn làm một tắt máy đúng cách sau đó Windows sẽ xóa bộ nhớ làm việc đúng cách vào đĩa và sau đó ngắt sạch đĩa trước khi tắt nguồn.

Để buộc tắt máy đúng cách, hãy mở một dấu nhắc lệnh và gõ

shutdown /s /f /t 0

/s là "tắt máy", /f buộc, và /t 0 có nghĩa là "bây giờ" (thời gian = 0 giây)

Hoặc bạn chỉ có thể vô hiệu hóa fastboot và ngủ đông.

Đọc thêm tại HowtoGeek: Tắt máy Doesn Tắt hoàn toàn Windows 10 (Nhưng khởi động lại không)

Liên quan đến việc bạn thực hiện tắt máy, vấn đề là Windows không được bảo đảm ghi bất kỳ thay đổi nào vào đĩa trong cùng một mili giây (hoặc thậm chí là vài phút) mà bạn thực hiện thay đổi. Nó gần như chắc chắn sẽ được viết trong một vài phút nhưng xác suất của nó thực sự đã được viết sẽ tăng theo thời gian. Nó không có khả năng được viết ngay lập tức, sau đó ở gần đến thời điểm bạn thực hiện thay đổi, xác suất sẽ tăng mạnh và gần như chắc chắn sẽ được viết trong vòng một giờ.

Mặc dù vậy, điều này là bằng cách buộc tắt máy cứng, bạn sẽ không cho hệ thống cơ hội ghi các thay đổi vào đĩa một cách an toàn.

Hầu hết các hệ thống tập tin hiện đại được viết để thực hiện các thay đổi theo cách an toàn nhất có thể. Trong quá khứ, chúng được gọi là "nguyên tử", vì trong sự thay đổi đã xảy ra hoặc nó đã không xảy ra.

Hôm nay chúng ta biết họ như Hệ thống tập tin tạp chí bởi vì họ giữ một bản ghi hoạt động sẽ xảy ra có thể được hoàn nguyên hoặc chuyển tiếp trong trường hợp lỗi hệ thống và khởi động lại. Khi khởi động từ sự cố mất điện, hệ thống sẽ kiểm tra nhật ký và cho mỗi giao dịch, nó sẽ kiểm tra xem dữ liệu tệp thực tế có được ghi vào đĩa hay không và "tốt". Nếu đó là cuộn chuyển tiếp và được hoàn thành, nếu không thì nó sẽ quay trở lại dữ liệu cũ.

Bằng cách sử dụng thứ tự này, đĩa hầu như luôn ở trạng thái dễ sửa chữa.

Nhưng bằng cách buộc hệ thống của bạn tắt nguồn đột ngột, bạn không thể đảm bảo liệu giao dịch đã tiến triển đủ xa để tiến hành sửa chữa hay chưa, và rất có thể một hệ điều hành như Linux sẽ không quan tâm nhiều đến Windows về lịch sử giao dịch và nhiều khả năng thay vì không chỉ thực hiện các thay đổi mà đẩy mọi thứ về phía sau hơn là chuyển tiếp.

Nếu bạn khởi động lại vào Windows, nó có thể thử hoặc có thể sửa chữa đĩa đúng cách vì nó có kiến ​​thức sâu sắc hơn về hệ thống tệp.

Như tài liệu trên trang MSDN cho RegFlushKey:

Gọi điện thoại RegFlushKey là một hoạt động đắt tiền ảnh hưởng đáng kể đến hiệu suất toàn hệ thống vì nó tiêu tốn băng thông đĩa và chặn sửa đổi tất cả các khóa bởi tất cả các quy trình trong trung tâm đăng ký đang được xóa cho đến khi hoàn thành thao tác xả. RegFlushKey chỉ nên được gọi một cách rõ ràng khi một ứng dụng phải đảm bảo rằng các thay đổi đăng ký được duy trì vào đĩa ngay sau khi sửa đổi. Tất cả các sửa đổi được thực hiện cho các khóa được hiển thị cho các quá trình khác mà không cần phải xóa chúng vào đĩa.

Ngoài ra, sổ đăng ký có cơ chế 'lười biếng tuôn ra' để xóa các sửa đổi sổ đăng ký vào đĩa theo định kỳ. Ngoài hoạt động xả thường xuyên này, các thay đổi đăng ký cũng được xóa vào đĩa khi tắt hệ thống. Cho phép 'lười biếng tuôn ra' để xóa các thay đổi sổ đăng ký là cách hiệu quả nhất để quản lý ghi vào sổ lưu trữ trên đĩa.

Điều này cho thấy rằng ngoài việc xóa một khóa cụ thể vào đĩa ngay . Ngoài ra, nó được tuôn ra khi tắt máy, như bạn đã tìm ra.

Bạn có thể dùng RegFlushKey chức năng trong phần mềm thao tác với khóa đã nói hoặc tạo một công cụ bổ sung với nó để buộc ghi khóa đăng ký vào đĩa ngay lập tức, nếu điều này rất quan trọng đối với trường hợp sử dụng của bạn.

TL; DR: Đó là rất cẩn thận để làm điều này vào đúng thời điểm .

Các tài liệu về FSCTL_MARK_AS_SYSTEM_HIVE có điều này để nói:

Các FSCTL_MARK_AS_SYSTEM_HIVE mã kiểm soát thông báo cho hệ thống tệp rằng tệp được chỉ định chứa tổ ong của hệ thống đăng ký. Hệ thống tập tin phải xóa dữ liệu trung tâm hệ thống vào đĩa tại đúng thời điểm để tránh bế tắc và đảm bảo tính toàn vẹn dữ liệu.

Tôi không tin có bất kỳ chi tiết nào có sẵn công khai hơn thế này.

Hãy nhớ rằng tuôn ra hệ thống tập tin không ngụ ý tuôn ra đăng ký , bởi vì registry có thể thực hiện bộ nhớ đệm trên hàng đầu của hệ thống tập tin. Để xóa sổ đăng ký trước, bạn cần bằng cách nào đó gây ra NtFlushKey hoặc là ZwFlushKey để được gọi vào chìa khóa quan tâm của bạn.