Les ruches principales¶

Ce que vous allez apprendre¶

• Le role de chacune des 5 ruches principales
• Les sous-cles critiques de HKLM (SYSTEM, SOFTWARE, SAM, SECURITY, HARDWARE)
• Comment HKCU stocke vos preferences personnelles
• Ce que contiennent HKU, HKCR et HKCC
• La difference entre une "vraie" ruche et un lien symbolique

Vue d'ensemble¶

graph LR
    subgraph "Configuration machine"
        HKLM["HKEY_LOCAL_MACHINE"]
    end
    subgraph "Preferences utilisateur"
        HKCU["HKEY_CURRENT_USER"]
    end
    subgraph "Tous les utilisateurs"
        HKU["HKEY_USERS"]
    end
    subgraph "Associations de fichiers"
        HKCR["HKEY_CLASSES_ROOT"]
    end
    subgraph "Materiel actif"
        HKCC["HKEY_CURRENT_CONFIG"]
    end
    HKU -->|"lien symbolique"| HKCU
    HKLM -->|"vue fusionnee"| HKCR
    HKCU -->|"vue fusionnee"| HKCR
    HKLM -->|"lien symbolique"| HKCC

HKEY_LOCAL_MACHINE (HKLM)¶

Configuration globale de la machine, independante de l'utilisateur connecte. C'est la ruche la plus volumineuse et la plus critique.

HKLM\SYSTEM¶

Chargee par le bootloader avant meme le noyau. Contient la configuration materielle et les parametres de demarrage.

Explorons-la :

reg query "HKLM\SYSTEM\Select"

HKEY_LOCAL_MACHINE\SYSTEM\Select
    Current    REG_DWORD    0x1
    Default    REG_DWORD    0x1
    Failed     REG_DWORD    0x0
    LastKnownGood    REG_DWORD    0x2

Ce resultat vous dit quel jeu de controle (ControlSet) est actif. Ici, Current = 1 signifie que ControlSet001 est utilise.

HKLM\SOFTWARE¶

Parametres de configuration des logiciels installes au niveau machine.

Voyons la version de Windows :

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v CurrentBuild

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
    CurrentBuild    REG_SZ    22631

HKLM\SAM¶

La ruche Security Account Manager stocke les comptes utilisateurs locaux et les groupes.

Son contenu est chiffre et accessible uniquement par le compte SYSTEM.

Les informations stockees :

• Hashes des mots de passe locaux (NT hash)
• Identifiants de securite (SID) des comptes
• Appartenances aux groupes
• Politiques de verrouillage de compte

HKLM\SECURITY¶

Stocke la politique de securite locale (LSA Policy) :

• Secrets LSA (mots de passe de comptes de service, cles de chiffrement)
• Politiques d'audit
• Droits utilisateurs
• Relations d'approbation de domaine

Comme SAM, cette ruche est reservee au compte SYSTEM.

HKLM\HARDWARE¶

Ruche volatile (en memoire uniquement), generee dynamiquement au demarrage. Elle disparait a l'arret du systeme.

HKLM\BCD00000000¶

La ruche BCD (Boot Configuration Data) contient la configuration de demarrage du systeme.

Elle est chargee par le bootloader avant le noyau, en meme temps que la ruche SYSTEM. Son fichier source se trouve a l'un des emplacements suivants :

Les informations stockees dans cette ruche :

bcdedit /enum

Windows Boot Manager
--------------------
identifier              {bootmgr}
device                  partition=\Device\HarddiskVolume1
description             Windows Boot Manager
locale                  fr-FR
timeout                 30

Windows Boot Loader
-------------------
identifier              {current}
device                  partition=C:
path                    \Windows\system32\winload.efi
description             Windows 11

HKLM\COMPONENTS¶

La ruche COMPONENTS gere le systeme de maintenance de Windows (Component Based Servicing -- CBS).

Cette ruche contient :

• Les composants installes via Windows Update
• La gestion du stockage cote a cote (Side-by-Side ou SxS) dans le dossier WinSxS
• Les manifestes et metadonnees des packages systeme
• L'etat des mises a jour (en attente, installees, desinstallees)

Le service TrustedInstaller (TiWorker.exe) est le principal consommateur de cette ruche. C'est lui qui orchestre l'installation et la desinstallation des composants Windows.

# Check the size of the COMPONENTS hive
$componentsPath = "$env:SystemRoot\System32\config\COMPONENTS"
if (Test-Path $componentsPath) {
    $size = (Get-Item $componentsPath).Length / 1MB
    Write-Output "COMPONENTS hive size: $([math]::Round($size, 2)) MB"
}

COMPONENTS hive size: 812.34 MB

HKEY_CURRENT_USER (HKCU)¶

HKCU est un lien symbolique vers la sous-cle de HKU correspondant au SID de l'utilisateur connecte. Elle contient vos preferences personnelles.

Voyons votre fond d'ecran :

reg query "HKCU\Control Panel\Desktop" /v WallPaper

HKEY_CURRENT_USER\Control Panel\Desktop
    WallPaper    REG_SZ    C:\Users\User\Pictures\wallpaper.jpg

Le fichier physique associe est NTUSER.DAT, situe dans votre profil (%UserProfile%).

HKEY_USERS (HKU)¶

Contient les ruches de tous les utilisateurs dont le profil est actuellement charge :

HKEY_USERS
├── .DEFAULT                    → Profil par defaut (sessions systeme)
├── S-1-5-18                    → Compte SYSTEM
├── S-1-5-19                    → Compte LOCAL SERVICE
├── S-1-5-20                    → Compte NETWORK SERVICE
├── S-1-5-21-...-1001           → Utilisateur connecte (SID complet)
└── S-1-5-21-...-1001_Classes   → Classes COM / associations de fichiers

Verifiez par vous-meme :

Get-ChildItem "Registry::HKEY_USERS" | Select-Object Name

Name
----
HKEY_USERS\.DEFAULT
HKEY_USERS\S-1-5-18
HKEY_USERS\S-1-5-19
HKEY_USERS\S-1-5-20
HKEY_USERS\S-1-5-21-XXXXXXXXXX-XXXXXXXXXX-XXXXXXXXXX-1001
HKEY_USERS\S-1-5-21-XXXXXXXXXX-XXXXXXXXXX-XXXXXXXXXX-1001_Classes

reg load "HKU\UtilisateurHorsLigne" "C:\Users\Autre\NTUSER.DAT"

The operation completed successfully.

reg unload "HKU\UtilisateurHorsLigne"

The operation completed successfully.

HKEY_CLASSES_ROOT (HKCR)¶

HKCR est une vue fusionnee de deux sources :

Les parametres utilisateur l'emportent sur les parametres machine.

Cette ruche contient :

• Associations de fichiers : quelle application ouvre quel type de fichier
• Enregistrements COM : CLSID, ProgID, interfaces, serveurs COM
• Gestionnaires de shell : menus contextuels, icones, apercus

HKEY_CLASSES_ROOT
├── .txt                        → Association de l'extension .txt
├── .docx                       → Association de l'extension .docx
├── txtfile                     → ProgID decrivant le type "fichier texte"
├── CLSID                       → Repertoire des classes COM
│   └── {GUID}                  → Identifiant unique d'un objet COM
└── Directory
    └── shell                   → Entrees du menu contextuel des dossiers

Voyons quelle application ouvre les fichiers .txt :

reg query "HKCR\.txt" /ve

HKEY_CLASSES_ROOT\.txt
    (Default)    REG_SZ    txtfile

HKEY_CURRENT_CONFIG (HKCC)¶

HKCC est un lien symbolique vers :

HKLM\SYSTEM\CurrentControlSet\Hardware Profiles\Current

Elle contient le profil materiel actif, principalement les parametres d'affichage et d'impression.

Cles volatiles vs persistantes¶

Toutes les cles du registre ne sont pas egales. Certaines survivent au redemarrage, d'autres disparaissent avec lui.

Cles persistantes¶

Par defaut, toute cle creee dans le registre est persistante. Elle est ecrite dans le fichier de ruche sur le disque et survit aux redemarrages.

Cles volatiles¶

Une cle volatile est creee avec le flag REG_OPTION_VOLATILE. Elle existe uniquement en memoire et n'est jamais ecrite sur le disque. Au prochain redemarrage, elle disparait.

Identifier une cle volatile¶

Au niveau interne, une cle volatile est identifiee par le flag KEY_VOLATILE (bit 0x01) dans l'en-tete de la cellule nk (named key). Ce flag est visible avec des outils d'analyse binaire des ruches.

En pratique, avec PowerShell, on peut detecter les cles volatiles par leur comportement :

# Volatile keys don't survive reboot - verify by checking Volatile Environment
Get-ItemProperty "HKCU:\Volatile Environment" | Format-List

APPDATA            : C:\Users\User\AppData\Roaming
HOMEDRIVE          : C:
HOMEPATH           : \Users\User
LOCALAPPDATA       : C:\Users\User\AppData\Local
LOGONSERVER        : \\PC-USER
USERDNSDOMAIN      : example.local
USERDOMAIN         : PC-USER
USERDOMAIN_ROAMINGPROFILE : PC-USER
USERNAME           : User
USERPROFILE        : C:\Users\User

AppCompatFlags et les donnees de compatibilite¶

La cle HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags est le centre nevralgique du systeme de compatibilite applicative de Windows.

Structure¶

AppCompatFlags
├── Layers            → Modes de compatibilite par application
├── InstalledSDB      → Bases de shims installees (.sdb)
├── Custom            → Corrections personnalisees
└── Compatibility Assistant
    └── Store         → Historique des diagnostics de compatibilite

La sous-cle Layers¶

La sous-cle Layers contient les modes de compatibilite appliques a des executables specifiques. Chaque valeur a pour nom le chemin complet de l'executable et pour donnee les flags de compatibilite.

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Layers
    C:\Program Files\OldApp\app.exe    REG_SZ    ~ RUNASADMIN WIN7RTM

Les flags courants :

La sous-cle InstalledSDB¶

Les fichiers .sdb (Shim Database) contiennent des corrections de compatibilite packagees. Quand un administrateur ou un editeur deploie un fix de compatibilite via le Compatibility Administrator (inclus dans le Windows ADK), il est enregistre ici.

# List installed shim databases
Get-ChildItem "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\InstalledSDB" -ErrorAction SilentlyContinue

Name                           Property
----                           --------
{GUID}                         DatabasePath, DatabaseDescription