Types de donnees¶

Ce que vous allez apprendre¶

• Les 11 types de donnees du registre et quand utiliser chacun
• Comment lire et ecrire les types courants (REG_SZ, REG_DWORD, REG_MULTI_SZ...)
• Le stockage interne des valeurs en memoire
• L'astuce de l'optimisation "inline" pour les petites donnees

Exemple concret d'abord¶

Avant la theorie, regardons les types en action :

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion
    ProductName    REG_SZ    Windows 11 Pro

Le REG_SZ au milieu, c'est le type de la valeur. Il dit a Windows : "cette donnee est une chaine de caracteres".

Les 11 types en un coup d'oeil¶

Les types courants en detail¶

REG_SZ -- la chaine de texte¶

Le type le plus frequent. Stocke une chaine de caracteres Unicode (UTF-16LE) terminee par un caractere nul (\0).

rem Creer une valeur REG_SZ
reg add "HKCU\Software\Demo" /v AppPath /t REG_SZ /d "C:\Program Files\MonApp\app.exe" /f

The operation completed successfully.

rem Relire la valeur
reg query "HKCU\Software\Demo" /v AppPath

HKEY_CURRENT_USER\Software\Demo
    AppPath    REG_SZ    C:\Program Files\MonApp\app.exe

REG_EXPAND_SZ -- la chaine avec variables¶

Identique a REG_SZ, mais contient des references a des variables d'environnement :

reg add "HKCU\Software\Demo" /v SysPath /t REG_EXPAND_SZ /d "%%SystemRoot%%\System32\drivers" /f

The operation completed successfully.

reg query "HKCU\Software\Demo" /v SysPath

HKEY_CURRENT_USER\Software\Demo
    SysPath    REG_EXPAND_SZ    %SystemRoot%\System32\drivers

La valeur stockee est %SystemRoot%\System32\drivers. A la lecture, elle peut etre resolue en C:\Windows\System32\drivers.

REG_DWORD -- le nombre entier 32 bits¶

Entier 32 bits non signe (de 0 a 4 294 967 295). C'est le type standard pour les booleens, les compteurs et les options.

rem Activer une fonctionnalite (1 = on)
reg add "HKCU\Software\Demo" /v EnableFeature /t REG_DWORD /d 1 /f

The operation completed successfully.

reg query "HKCU\Software\Demo" /v EnableFeature

HKEY_CURRENT_USER\Software\Demo
    EnableFeature    REG_DWORD    0x1

Conventions courantes :

REG_QWORD -- le nombre entier 64 bits¶

Entier 64 bits non signe (de 0 a 18 446 744 073 709 551 615). Utilise pour les compteurs, horodatages et valeurs depassant la capacite d'un DWORD.

reg add "HKCU\Software\Demo" /v BigCounter /t REG_QWORD /d 1000 /f

The operation completed successfully.

reg query "HKCU\Software\Demo" /v BigCounter

HKEY_CURRENT_USER\Software\Demo
    BigCounter    REG_QWORD    0x3e8

0x3e8 en hexadecimal = 1000 en decimal.

REG_BINARY -- les donnees binaires brutes¶

Donnees binaires sans format impose. L'interpretation depend entierement de l'application.

Nom :    ConfigBlob
Type :   REG_BINARY
Donnees : 48 00 65 00 6C 00 6C 00 6F 00

REG_MULTI_SZ -- la liste de chaines¶

Liste ordonnee de chaines, chacune terminee par un caractere nul. La liste entiere se termine par un double caractere nul.

Nom :    DependOnService
Type :   REG_MULTI_SZ
Donnees : LanmanWorkstation\0
          Netlogon\0
          \0

Cas d'usage typiques :

• Dependances de services
• Listes de pilotes a charger
• Chemins de recherche multiples

En PowerShell, la manipulation est plus naturelle :

# Read a REG_MULTI_SZ value
$deps = (Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon").DependOnService
$deps

LanmanWorkstation

REG_LINK -- le lien symbolique interne¶

Lien symbolique pointant vers une autre cle du registre. C'est ce type qui est utilise pour creer les alias comme HKEY_CURRENT_USER ou CurrentControlSet.

Les types materiels (REG_RESOURCE_LIST, REG_FULL_RESOURCE_DESCRIPTOR, REG_RESOURCE_REQUIREMENTS_LIST)¶

Ces trois types sont reserves au gestionnaire Plug and Play (PnP) de Windows. Vous ne les manipulerez jamais directement, mais comprendre leur role aide a dechiffrer certaines cles systeme.

Ils resident principalement sous :

HKLM\HARDWARE\ResourceMap

Structure interne¶

Ces valeurs encapsulent des structures C documentees dans le WDK (Windows Driver Kit) :

Chaque CM_PARTIAL_RESOURCE_DESCRIPTOR indique un type de ressource :

Lire la carte des ressources en PowerShell¶

# Browse hardware resource map entries
$basePath = "HKLM:\HARDWARE\ResourceMap"
Get-ChildItem $basePath -Recurse | ForEach-Object {
    $key = $_
    $key.GetValueNames() | ForEach-Object {
        $type = $key.GetValueKind($_)
        [PSCustomObject]@{
            Key      = $key.Name -replace "HKEY_LOCAL_MACHINE", "HKLM"
            Value    = $_
            Type     = $type
            SizeBytes = ($key.GetValue($_, $null, "DoNotExpandEnvironmentNames")).Length
        }
    }
} | Format-Table -AutoSize

Key                                                        Value                Type              SizeBytes
---                                                        -----                ----              ---------
HKLM\HARDWARE\ResourceMap\PnP Manager\PnpManager          .Raw                 Unknown                 312
HKLM\HARDWARE\ResourceMap\System Resources\Physical Memory .Translated          Unknown                 120

Comparaison rapide¶

Representation en memoire (avance)¶

Pour les curieux, voici comment une valeur est stockee physiquement dans le fichier de ruche.

Structure d'une cellule de valeur (vk)¶

graph LR
    subgraph "Cellule vk — donnees inline"
        A["Taille"] --> B["Signature vk"]
        B --> C["Nom"]
        C --> D["Type = REG_DWORD"]
        D --> E["Donnees = 0x00000001<br/><small>stockees directement ici</small>"]
    end
    subgraph "Cellule vk — donnees externes"
        F["Taille"] --> G["Signature vk"]
        G --> H["Nom"]
        H --> I["Type = REG_SZ"]
        I --> J["Offset → cellule de donnees"]
        J --> K["Cellule separee<br/><small>contient la chaine</small>"]
    end

Edge cases et limites d'encodage¶

Chaque type du registre a ses particularites et ses limites. Connaitre ces cas limites evite des heures de debogage.

Taille maximale d'une valeur REG_SZ¶

L'API RegSetValueEx autorise theoriquement une valeur jusqu'a 2 Go (le champ taille est un DWORD). En pratique, la limite reelle est d'environ 1 Mo. Au-dela, certaines applications et certains outils (Regedit, reg.exe) ne peuvent plus afficher ou manipuler la valeur correctement.

REG_MULTI_SZ et les chaines vides¶

Une REG_MULTI_SZ est une suite de chaines separees par des \0, terminee par un double \0. Que se passe-t-il si une chaine est vide (deux \0 consecutifs au milieu) ? Windows interprete cela comme la fin de la liste. Les elements suivants sont ignores silencieusement.

Valeur stockee :  "Premier\0\0Deuxieme\0\0"
Valeur lue :      "Premier"

REG_EXPAND_SZ et la resolution non recursive¶

Les variables d'environnement dans une REG_EXPAND_SZ sont resolues une seule fois. Si une variable pointe vers une valeur contenant elle-meme %UneAutreVariable%, la seconde n'est pas resolue.

%CUSTOM_PATH%  =  %SystemRoot%\MonDossier
REG_EXPAND_SZ  =  %CUSTOM_PATH%\fichier.txt

Apres resolution :  %SystemRoot%\MonDossier\fichier.txt   (et non C:\Windows\MonDossier\fichier.txt)

L'appel a ExpandEnvironmentStrings() ne fait qu'un seul passage de substitution, pas de resolution en chaine.

REG_DWORD vs REG_DWORD_BIG_ENDIAN¶

Les deux stockent un entier 32 bits, mais l'ordre des octets differe :

REG_DWORD_BIG_ENDIAN (type 5) est extremement rare. Il existe pour compatibilite avec certains protocoles reseau, mais la quasi-totalite des valeurs Windows utilise le format little-endian standard.

REG_NONE : le marqueur sans type¶

REG_NONE (type 0) n'impose aucun format. Il sert dans deux cas :

• Marqueur de presence : la simple existence de la valeur suffit, le contenu n'importe pas
• Donnees opaques : l'application interprete elle-meme le blob binaire, sans indication de format

Certaines cles systeme utilisent REG_NONE pour signaler qu'une fonctionnalite est active, avec zero octet de donnees.

Stockage "big data" (Windows Vista+)¶

Avant Windows Vista, une cellule de donnees ne pouvait pas depasser 16 344 octets (la taille maximale d'une cellule dans un bin de 4 Ko). A partir de Vista, le gestionnaire de configuration utilise un mecanisme de big data : les donnees sont decoupees en segments de 16 344 octets, chacun dans sa propre cellule, et une cellule d'index les reference.

graph LR
    A["Cellule vk<br/>Type = REG_SZ"] --> B["Cellule d'index<br/>(liste d'offsets)"]
    B --> C["Segment 1<br/>16 344 octets"]
    B --> D["Segment 2<br/>16 344 octets"]
    B --> E["Segment N<br/>reste"]

La limite de 1 Mo en pratique¶

RegSetValueEx peut retourner ERROR_SUCCESS meme pour des donnees depassant 1 Mo. Cependant :

• Regedit ne peut pas afficher correctement les valeurs superieure a 1 Mo
• reg.exe tronque silencieusement certaines valeurs volumineuses a l'export
• Les API .NET (Microsoft.Win32.Registry) peuvent lever une IOException au-dela de certains seuils
• Le temps de chargement de la ruche augmente significativement avec des valeurs tres volumineuses

Nettoyons les valeurs de demonstration :

reg delete "HKCU\Software\Demo" /f

The operation completed successfully.