小王最近有點郁悶，因為自己放在宿舍的電腦周五還好好的，周日回來使用后就發(fā)現(xiàn)中了Autorun病毒，由于周五自己電腦才重裝系統(tǒng)，幾乎可以肯定是宿舍哥們在自己電腦插入帶毒U盤所致?？墒菦]有哪個哥們承認(rèn)在自己電腦上用過U盤。不過系統(tǒng)注冊表保留了本機所有USB設(shè)備插入記錄，這樣一條命令就讓小王找到了“真兇”。
以管理員身份啟動命令提示符，然后輸入“reg query HKLM\System\currentcontrolset\enum\usbstor /s”，很快就可以看到本機總共使用過了兩個USB設(shè)備，從“FriendlyName”可以知道一個是自己安裝系統(tǒng)使用的金士頓U盤，一個則為朗科（Netac OnlyDisk）外來U盤，顯然元兇即為朗科U盤（見圖1）。
小提示：
如果本機使用過的U盤很多，可以使用““reg query HKLM\System\currentcontrolset\enum\usbstor /s >c:\usb.txt”，將結(jié)果輸出到txt文件中，然后使用“FriendlyName”作為關(guān)鍵詞查找即可。
知道染毒U盤的真兇后，稍微詢問一下就知道U盤是上鋪的大李所有，不過在罪證面前，大李仍然在頑抗，說很多人都有朗科U盤，憑什么說這個U盤就是他的?？磥磉€得找出更有說服力的證據(jù)。大家知道，在本機使用硬件時，系統(tǒng)都會依據(jù)硬件的序列號位其分配一個“設(shè)備范例ID”，這個ID號在其他電腦上的顯示也是一樣的。上述命令中的“ \Disk&Ven_Netac&Prod_OnlyDisk&Rev_1.10\FEA80E9B624B23E5&0”最后的數(shù)字就是“設(shè)備范例ID”。現(xiàn)在把大李的U盤查到其他人電腦上，然后打開設(shè)備管理器，依次展開“磁盤驅(qū)動器→當(dāng)前U盤→屬性”，打開屬性窗口后切換到“詳細(xì)信息”，這里的“設(shè)備范例ID”顯示的代碼和小王電腦上的查詢到的是一致的，這下大李終于無話可說了（見圖2）。
圖2
小提示：
實際上注冊表保存了很多硬件、軟件的使用信息，比如，即使你設(shè)置在EXCEL不顯示最近打開的文件，我們打開[HKCU\Software\ Microsoft\ Office\11. 0\ Excel\ Recent Files]，仍然可以看到Excel最近打開的文檔。善于查看注冊表信息，可以給我們操作帶來很多便利。
