一次Windows10 严重绿屏的非常规修复复盘

楼主首先想到windows10的自动注册表备份功能，备份文件存储在Windows\System32\config\RegBack下。
打开后发现，文件夹为空

简单查阅后发现，微软在1803以后的版本就关闭了这个功能。目的是减小磁盘占用

一般来说，遇到这种问题用Re、最后一次正确的配置等进行修复基本无用，只能重装。不过楼主的系统里面配置了大量环境，，重装之后就得重新配置
于是开始折腾了，，先查找下蓝屏的dump文件：

好家伙，根本没找着可能因为强制重启，没有保存下来吧

这里只能尝试从注册表文件下手了，先看看SYSTEM文件，大小上没有什么问题：

接着尝试挂载注册表配置单元：

这就比较奇怪了。一般来说遇到注册表导致的系统无法启动问题，尤其是SYSTEM配置单元出现问题，我们会从驱动、服务等方面下手，用DISM++可以辅助进行驱动、服务的修改操作。不过这里似乎SYSTEM的注册表整个炸了，DISM++也无法对系统进行加载

考虑到SYSTEM文件整个损坏的可能性比较小，于是楼主尝试从文件本身入手。
微软没有公布关于注册表二进制配置单元的规范文件，只能查找有没有第三方的实现。
在github上找到一个长期维护的库：libregf

在Vista之后，引入了注册表交易事务（Transactional registry）的功能，也就是说系统将基于多次事务对注册表进行修改操作。 这里整个文件都无法读取，很有可能是某次事务未完成。
这里楼主将有问题的SYSTEM项（左）和从ISO镜像中拷贝出来的SYSTEM项（右）进行对比：

区别自然是相当大。。。不过按照经验，我们一眼就能看出文件头存在差别

前排

显然这里的文件头是存在问题的，再看下文件头由什么组成：

重点关注三个地方，主序列号，辅助序列号和校验和。主序列号在事务开始时被修改，辅助序列号在事务结束时被修改，正常情况下两者应该保持一致。
他们的偏移量分别是0x4，0x8和0x1FC
一看果然存在问题：

下面修复的思路就很明了了。将主次序列号对应，然后重新计算校验和并修改即可。
这里楼主就直接偷懒下了，把整个文件头进行替换操作。
接着尝试挂载：

成功挂载，而且数据看上去似乎没什么问题。。

现在已经成功进入系统了，暂时没有什么问题。
总结一下楼主的经验：
1. 遇到蓝屏，绿屏，正在收集信息时候最好不要贸然关机。遇到类似的情况可以尝试下这种办法，或者直接替换成原版镜像的SYSTEM文件？或许可行，我没有试过
2. 记得定时备份注册表和重要数据
3. Bug10的策略还是太死了，校验不过去就是文件出问题了，也不会尝试继续启动，这样普通用户没法玩啊。。。

蹭充气

蹭热度