Windows注册表保存系统各种重要信息。在数字取证中，经常需要分析Windows操作系统的注册表。Kali Linux自带了一款专用工具集reglookup。其中，reglookup工具可以从注册表文件中读取特定分支的各项信息，并显示其对应的权限。reglookup-recover工具可以从注册表文件中恢复被删除的注册表项。reglookup-timeline工具还可以生成注册表文件的时间图，供渗透测试人员分析注册表的历史操作记录。