winpe可绕过受损系统直接修复注册表：先确认config目录下sam等5文件存在，再通过reg load加载software/system，用reg add清零disableregistrytools键值或导入unlock_reg.reg，最后清除恶意服务、还原浏览器设置并卸载挂载项。
电脑被恶意锁机软件入侵后，注册表关键项被篡改或禁用，导致regedit打不开、系统设置失效、浏览器主页被劫持、甚至无法启动——此时常规系统内操作全部失灵，必须借助WinPE环境绕过原系统加载机制，直接读写硬盘上的注册表文件。
确认注册表是否被恶意禁用
插入已制作好的WinPE启动U盘，重启电脑，按F12/ESC/F2等键调出启动菜单，选择U盘启动进入WinPE桌面。双击“我的电脑”，确认系统盘（通常是C盘）可正常访问 → 打开“CMD命令提示符”（非管理员权限即可）→ 输入：dir C:\Windows\System32\config\ /a → 回车。若能看到SAM、SYSTEM、SOFTWARE等5个主配置单元文件，说明注册表物理结构未被删除；若同时发现C:\Windows\regedit.exe被重命名或属性设为只读/隐藏，则大概率是恶意软件所为。
这一步不能跳过。有些锁机软件并不破坏文件，而是通过修改HKCU或HKLM下的策略键值实现软性封锁，直接看文件存在与否，能快速排除硬件损坏或误格式化等干扰项。
解除注册表编辑器禁用状态
方法一：用命令行强制还原DisableRegistryTools键值
在WinPE命令提示符中，依次执行以下两条命令（注意盘符根据实际调整，此处以C盘为例）：
reg load HKLM\TEMP C:\Windows\System32\config\SOFTWARE
reg add "HKLM\TEMP\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableRegistryTools /t REG_DWORD /d 0 /f
执行完毕后，输入 reg unload HKLM\TEMP 卸载挂载项。
方法二：手工导入解除锁定的.reg文件
在WinPE桌面新建记事本 → 粘贴以下内容：
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:00000000
→ 点击“文件→另存为”，保存路径选桌面，文件名填【unlock_reg.reg】，保存类型选“所有文件”，编码选ANSI → 双击该文件，点击“是”确认导入 → 系统会立即生效。
注意：WinPE默认不加载用户配置单元（DEFAULT、NTUSER.DAT），所以必须同时处理HKLM和HKCU两级策略。只改SOFTWARE不碰NTUSER.DAT，可能在登录后仍被用户级策略重新封锁。
修复被篡改的启动项与浏览器劫持项
第一步：挂载SYSTEM和SOFTWARE注册表配置单元
打开CMD → 输入：
① reg load HKLM\SYS C:\Windows\System32\config\SYSTEM
② reg load HKLM\SOFT C:\Windows\System32\config\SOFTWARE
第二步：清除恶意启动服务与驱动
执行：
reg delete "HKLM\SYS\ControlSet001\Services\恶意服务名" /f
（将“恶意服务名”替换为实际名称，常见如WmiPrvSE、SysGuard、UpdateHelper等伪装名）
若不确定具体名称，可先运行：reg query "HKLM\SYS\ControlSet001\Services" /s | findstr "ImagePath"，逐行检查ImagePath值是否指向C:\Windows\Temp、%APPDATA%或非常规路径。
第三步：还原浏览器主页与默认协议关联
执行：
reg add "HKLM\SOFT\Microsoft\Internet Explorer\Main" /v "Start Page" /t REG_SZ /d "https://www.bing.com" /f
reg add "HKLM\SOFT\Classes\http\shell\open\command" /v "" /t REG_SZ /d "\"C:\Program Files\Internet Explorer\iexplore.exe\" -nohome" /f
如使用Chrome或Edge，对应修改HKLM\SOFT\Clients\StartMenuInternet下的默认值及关联键。
第四步：卸载挂载项
输入：
reg unload HKLM\SYS
reg unload HKLM\SOFT
