windows - 如何映射 HKEY_USERS 子键和 Windows 用户名？

Question

我认为紧接在 HKEY_USERS 下面的键名应该是某个时间登录这台机器的任何人的用户名。但是在我的机器中出现的是:

S-1-5-18
S-1-5-19
S-1-5-20
S-1-5-21-NNNNNNNNN-NNNNNNNNN-NNNNNNNNNN-NNNNN
S-1-5-21-NNNNNNNNN-NNNNNNNNN-NNNNNNNNNN-NNNNN_Classes

我希望能够确定哪个子树对应于哪个用户。我该怎么做？

编辑:我需要的是从 SID 获取用户名。我想检查每个曾经登录过的用户的配置，我需要知道他们的名字。例如，在上面的注册表中，我需要能够根据字符串“S-1-5-21-NNNNNNNNN-NNNNNNNNN-NNNNNNNNNN-NNNNN”，找出它对应于 DOMAIN\somebody，或 LOCALMACHINENAME\其他人。

Answer 1

可以从WMI查询此信息.以下命令将输出一个表，其中包含每个用户的一行以及每个用户的 SID。

wmic useraccount get name,sid

您还可以将此信息导出为 CSV:

wmic useraccount get name,sid /format:csv > output.csv

我在 Vista 和 7 上使用过它(根据评论它也适用于 2008 R2)。有关详细信息，请参阅 WMIC - Take Command-line Control over WMI .