PE在运行过程中的写操作，是写在了内存里，还是相关下面的这些注册表文件中能否移

tt911

花接木

名称
        system
        software
        security
        sam
        fp
        elam
        drivers
        default

把 内存中的 X:\windows\system32\config
这个目录，盗出来直接使用，省得  注册表配置单元 卸来装去了。

junyee

开了FBWF后,注册表的这几个文件会写入内存中.
不开FBWF好像不会.