NTUSER.DAT — файл реестра Windows¶

NTUSER.DAT — это файл, содержащий куст реестра Windows (HKEY_CURRENT_USER), автоматически создающийся операционной системой при создании учётной записи пользователя. Располагается в скрытой папке профиля пользователя (например, C:\Users\Имя\NTUSER.DAT) и хранит все пользовательские настройки: параметры рабочего стола, настройки программ, историю запуска, ассоциации файлов и другие персональные предпочтения. Файл имеет атрибуты «скрытый» и «системный», поэтому по умолчанию не отображается в Проводнике.

¶Структура и назначение

NTUSER.DAT является кустом реестра (registry hive) — автономным файлом, в котором физически хранится часть дерева реестра. Логически этот куст монтируется в ветку HKEY_CURRENT_USER (HKCU). При входе в систему под учётной записью Windows подключает NTUSER.DAT соответствующего профиля, и все обращения к HKCU фактически идут в этот файл.

Помимо самого NTUSER.DAT, в профиле создаётся служебный журнал транзакций NTUSER.LOG, куда записываются изменения до их фиксации в основном файле. Это обеспечивает целостность данных при сбое питания или аварийном завершении работы.

¶Содержимое

Файл хранит тысячи ключей и значений, отражающих поведение пользователя в системе. Среди типичных разделов:

Отдельные программы также создают собственные ветки в HKCU, поэтому NTUSER.DAT может занимать от нескольких мегабайт до сотен мегабайт у активных пользователей.

¶Работа с файлом

¶Просмотр и редактирование

Напрямую открыть NTUSER.DAT в редакторе реестра (regedit) двойным щелчком нельзя — система отклонит попытку. Для просмотра используются специальные утилиты (например, NirSoft FullRegView, Registry Explorer от Eric Zimmerman) либо загрузка куста в редактор реестра через меню «Файл → Загрузить куст» с указанием временного ключа.

¶Типичные задачи

• Очистка профиля — удаление NTUSER.DAT вместе с папкой профиля удаляет все пользовательские настройки.
• Перенос профиля — копирование папки пользователя на другой компьютер с последующей правкой SID в реестре (профиль становится «сломанным», если SID не совпадает).
• Анализ цифровых следов — NTUSER.DAT активно используется в компьютерной криминалистике: здесь хранятся MRU-списки (недавние файлы), история запуска программ, данные автозагрузки, что позволяет восстановить действия пользователя.
• Удаление вредоносного ПО — вредоносные программы часто прописывают свои ключи автозагрузки именно в HKCU, поэтому при лечении инфекции NTUSER.DAT сканируется в первую очередь.

¶Типичные ошибки

Попытка скопировать или переместить файл при активном входе пользователя в систему завершается ошибкой «файл используется другим процессом» — Windows держит куст открытым. Рекомендуется копировать профиль из-под другой учётной записи администратора или после выхода пользователя из системы.

¶Роль в цифровой криминалистике

NTUSER.DAT — один из ключевых источников доказательств при расследовании компьютерных преступлений. Структура файла стандартизирована, поэтому специализированные инструменты (RegRipper, RECmd, Registry Explorer) автоматически извлекают из него:

• список запускавшихся программ с метками времени;
• содержимое буфера обмена (в отдельных случаях);
• данные о подключённых USB-устройствах;
• настройки браузеров и почтовых клиентов;
• ключи автозагрузки, добавленные вредоносным ПО.

В российской практике методика работы с NTUSER.DAT описана в руководствах по компьютерно-криминалистическому анализу, применяемых экспертами МВД и ФСБ.

¶См. также

• Реестр Windows
• HKEY_CURRENT_USER
• Профиль пользователя Windows
• Regedit

¶Источники

• Microsoft Learn. Windows Registry — https://learn.microsoft.com/ru-ru/windows/win32/sysinfo/registry
• Eric Zimmerman. Registry Explorer documentation
• Harlan Carvey. Windows Forensic Analysis Toolkit
• NirSoft. FullRegView — утилита просмотра кустов реестра