如果要保存的密钥是 HKEY_LOCAL_MACHINE，为什么 RegSaveKey() 会失败并显示错误代码 5（访问被拒绝）？

Question

这个问题与所使用的编程语言无关。

在 Windows 7 SP1 和 Windows 10 版本 1803 中测试。

症状

如果要保存的密钥是HKEY_LOCAL_MACHINE，

RegSaveKey() 会失败并返回错误代码 5（访问被拒绝）。

如果指定了子键，则不会发生此错误，例如HKEY_LOCAL_MACHINE\SYSTEM.

如果密钥为HKEY_CURRENT_USER，也不会发生此错误。

第一个样本

在这里，我使用 AutoIt 快速编写 a sample code 以重现错误。我还把示例代码编译成.EXE，方便大家看问题。

第二个样本

REG.EXE，这是一个内置的Windows工具使用Visual C++编写（这就是为什么标签包含C），与上面提到的完全相同的问题.这并不奇怪，因为根据我的调查，REG.EXE SAVE 命令实际上使用了未记录的 NtSaveKey()。顺便说一句，RegSaveKey() 在内部调用 NtSaveKey()。

REG.EXE SAVE "HKLM" "HKLM.hiv" /Y

上述命令失败并出现错误“访问被拒绝”。请注意，我以 Administrator 身份运行命令。

问题

这个错误的原因是什么？有没有办法让 RegSaveKey() 适用于HKEY_LOCAL_MACHINE（不指定子键）？

更新

我进一步的测试表明regedit.exe和上面提到的一样。

• 将HKEY_LOCAL_MACHINE 导出到.HIV 文件失败；但是，将其导出到 .REG 文件会成功。
• 将HKEY_LOCAL_MACHINE\<subkey> 导出到.HIV 文件成功。
• 将HKEY_CURRENT_USER 导出到.HIV 文件成功。
• 将HKEY_CURRENT_USER\<subkey> 导出到.HIV 文件成功。

Answer 1

所有保存注册表项的 API 在内部调用 CmSaveKey。在这个函数的源代码中，我们看到开头有以下block of code：

    //
    // Disallow attempts to "save" the master hive
    //
    Hive = KeyControlBlock->KeyHive;

    if (Hive == &CmpMasterHive->Hive) {
        return STATUS_ACCESS_DENIED;
    }

HKEY_LOCAL_MACHINE（即“\Registry\Machine”）在主配置单元中，所以CmSaveKey 将STATUS_ACCESS_DENIED（0xc0000022）返回给调用者。 Windows 子系统将此状态代码转换为ERROR_ACCESS_DENIED (5)。