windows - 在 PowerShell 中，如何从所有 SID 的 HKEY_Users 中提取文件？

Question

我正在编写一个 PowerShell 模块来查找在某个时间点登录到计算机的每个用户可能在其 HKEY_USERS 目录中拥有的数据。我最初的想法是挂载 HKEY_USERS，找到一种将每个用户的 SID 存储在字符串变量中的方法，然后像这样遍历所有文件夹:
dir HKU\<STRING VARIABLE HOLDING SID>\Software\MyApp\Mydesireddata
有没有一种方法可以避免遍历 SID(因为我不会提前知道它们)，并从系统上的每个 SID 中提取该文件信息，同时记住它来自哪个 SID？

编辑:这是我尝试使用 regedit(vncviewer 的 EulaAccepted)从每个用户的 SID 中提取的 key 示例

Answer 1

使用Get-ChildItem检索每个用户特定的子项:

$UserHives = Get-ChildItem Registry::HKEY_USERS\ |Where-Object {$_.Name -match '^HKEY_USERS\\S-1-5-21-[\d\-]+$'}

然后遍历每个条目并检索所需的注册表值:

foreach($Hive in $UserHives)
{
    # Construct path from base key
    $Path = Join-Path $Hive.PSPath "SOFTWARE\MyApp\DataKey"

    # Attempt to retrieve Item property
    $Item = Get-ItemProperty -Path $Path -Name ValueName -ErrorAction SilentlyContinue

    # Check if item property was there or not    
    if($Item)
    {
        $Item.ValueName
    }
    else 
    {
        # doesn't exist
    }
}