可通过注册表、系统还原点inf文件、第三方工具、事件日志及bios备份五种方法恢复已卸载或禁用网卡的历史mac地址，其中注册表路径hkey_local_machine\system\currentcontrolset\control\class{4d36e972-e325-11ce-bfc1-08002be10318}为首选途径。
如果您曾使用某张网卡并已将其驱动卸载或设备禁用，但需找回该网卡此前的MAC地址，则无法通过常规实时查询命令（如ipconfig /all）获取，因其适配器已不在系统运行列表中。以下是恢复历史网卡MAC地址的可行路径：
一、从Windows注册表中提取已卸载网卡的MAC地址
Windows在安装网卡驱动时，会将物理地址（MAC）写入注册表对应适配器键值中，即使驱动被卸载、设备被禁用，部分历史记录仍保留在注册表内。此方法适用于曾正常启用并联网的网卡，且未执行过深度清理或系统重置。
1、同时按下Win + R键，输入regedit，按回车打开注册表编辑器。
2、导航至以下路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4d36e972-e325-11ce-bfc1-08002be10318}。
3、该路径下存在多个以四位数字命名的子项（如0000、0001等），逐个点击进入，查看右侧窗格中的DriverDesc（驱动描述）是否包含已知网卡品牌（如“Realtek”，“Intel”，“RTL8168”等）。
4、在确认为对应网卡的子项中，查找名为NetworkAddress或MACAddress的字符串值；若不存在，继续查找UpperFilters或LowerFilters相邻项，有时MAC会以十六进制形式嵌入在Characteristics或NetCfgInstanceId关联键中。
5、若仍未发现，可检查同一子项下的LogConf二进制值——部分旧驱动会将MAC地址存于该值前12字节（需用十六进制编辑器解析，格式为连续12字符，如00E04C680A1B）。
二、通过系统还原点或卷影副本提取历史驱动INF文件
网卡驱动安装包（.inf文件）通常包含硬编码的MAC地址声明（尤其在OEM定制驱动中），而INF文件一旦写入系统即可能残留于%SystemRoot%\inf目录或驱动缓存中。若系统启用了系统保护，可通过卷影副本访问此前时间点的INF内容。
1、打开文件资源管理器，在地址栏输入：%SystemRoot%\inf，按回车进入系统INF目录。
2、按修改日期排序，查找名称含net、rtl、e1d63、dxgkrnl等关键词的.inf文件（如oem0.inf、netr28x.inf）。
3、右键任一疑似INF文件 → “属性” → “以前的版本”选项卡；若存在可用还原点，选择一个早于网卡卸载的时间点，点击“打开”。
4、在打开的只读窗口中，用记事本打开该.inf文件，搜索关键字MACAddress、NetworkAddress、ether或00-（MAC常见起始格式），定位类似NetworkAddress = "00-1A-2B-3C-4D-5E"的行。
5、若无“以前的版本”，可尝试在%SystemRoot%\System32\DriverStore\FileRepository中按厂商名筛选文件夹，进入后查找.inf及配套.cat文件，并用文本编辑器打开分析。
三、利用第三方硬件信息工具扫描残留设备ID与MAC线索
某些专业硬件审计工具（如Belarc Advisor、Open Hardware Monitor、USBDeview扩展版）在扫描时可调用Windows PnP数据库快照，提取已卸载设备的PCI/USB设备ID、厂商型号及部分固件级标识字段，间接推导MAC地址归属。
1、下载并运行Belarc Advisor（免费个人版），完成本地扫描后生成HTML报告。
2、在报告中展开“Network Adapters”章节，查找状态为Disabled或Not Present的条目，记录其Device ID（如PCI\VEN_10EC&DEV_8168）与Hardware ID。
3、访问https://devicehunt.com或PCI Database网站，输入Device ID查询对应网卡芯片型号（如RTL8168、I217-V）。
4、根据芯片型号检索该型号网卡的EEPROM默认MAC存储位置文档（例如Realtek RTL8111系列常将MAC存于EEPROM偏移0x00–0x05），再结合主板BIOS备份（若有）中MAC Address字段进行交叉比对。
5、若曾使用过HWiNFO64并保存过传感器日志（.log），可在历史日志中搜索MAC或Physical Address，部分版本会在启动检测阶段记录所有识别到的网络控制器原始MAC。
四、从系统事件日志中追溯网卡启用时的MAC登记记录
Windows在网卡首次启用或IP配置变更时，可能在系统日志中留下含MAC地址的事件条目，尤其当启用了DHCP客户端日志或网络连接审计策略。
1、按下Win + R，输入eventvwr.msc，打开事件查看器。
2、依次展开：应用程序和服务日志 → Microsoft → Windows → Dhcp-Client → Operational。
3、在右侧操作面板点击“筛选当前日志”，在“事件ID”框中输入1001, 1002, 1005（DHCP获取/续租关键事件），点击确定。
4、浏览筛选结果，双击任一事件，在“详细信息”选项卡中切换至“XML视图”，查找<data name="PhysicalAddress"></data>或<data name="MACAddress"></data>节点内容。
5、若无DHCP日志，可切换至系统日志，筛选事件ID 4200（网络连接状态变更）或7045（服务安装），部分OEM驱动安装时会将MAC作为服务参数写入事件数据。
五、从主板BIOS/UEFI固件备份中直接提取板载网卡MAC
对于集成在主板上的Realtek、Intel、Marvell等板载网卡，其唯一MAC地址通常固化于BIOS/UEFI映像的特定区域（如ACPI DSDT表、NV RAM段或单独的MAC区段），即使驱动卸载、操作系统重装，该值依然存在。前提是您此前已备份过BIOS文件。
1、确认主板型号及BIOS厂商（AMI/Award/Insyde/Phoenix），下载对应BIOS刷新工具（如AFUDOS、AWDFLASH、InsydeFlash）。
2、使用UEFITool NE打开已备份的BIOS .rom 文件，搜索字符串MAC、NodeID、EFUSE或十六进制序列00 00 00 00 00 00（占位符）附近12字节区域。
3、重点检查模块类型为ACPI或NVRA的固件卷，查找MAC Address字段所在结构体（如AMI BIOS中常位于MAC_ADDR GUID段）。
4、若BIOS支持ME（Management Engine）且已启用，可尝试用MEInfo工具导出ME固件分区，部分Intel平台将MAC存储于ME Region → MFS → macaddr.dat。
5、使用Flashrom配合硬件编程器读取主板SPI Flash芯片原始镜像，再用binwalk -e提取文件系统，搜索mac或00-1A-2B等模式。
