L əyləcinin iş prinsipi

То же самое верно и для клавиши рабочего стола панели управления HKCU, которая определяет множество параметров рабочего стола в таких значениях, как WallpaperStyle, который описывает, следует ли центрировать обои или растягивать их по дисплею. Другие в том же месте включают CursorBlinkRate, ScreenSaveActive, ScreenSaveTimeOut и MenuShowDelay.

HackWare.ru

Этичный хакинг и тестирование на проникновение, информационная безопасность

Анализ реестра Windows

Оглавление

Что такое реестр Windows?

Реестр Windows — это иерархическая база данных, которая содержит все конфигурации и настройки, используемые компонентами, службами, приложениями и почти всем в Windows.

В реестре есть две основные концепции, о которых нужно знать: ключи и значения. «Ключи реестра» — это объекты, которые в основном являются папками и даже выглядят в интерфейсе Редактора реестра точно так же как папки. «Значения реестра» немного похожи на файлы в папках, и они содержат фактические настройки.

Когда вы открываете редактор реестра в первый раз, вы увидите древовидную структуру на левой панели, которая содержит все ключи со значениями в правой части. В целом это напоминает файловый менеджер с вложенными папками и подпапками, в некоторых из которых размещены файлы.

В первую очередь обратим внимание на ключи корневого уровня, которые вы видите в левой части снимка экрана, поскольку в них содержатся все данные. В каждом из них хранится разный набор информации, поэтому в зависимости от того, что вы пытаетесь сделать, вам нужно будет знать, в какой раздел перейти.

Интересная вещь, о которой не знает большинство людей, – это то, что трёх из пяти элементов на корневом уровне на самом деле не существует… они просто связаны с элементами, расположенными ниже в одном из других ключей. То есть некоторые из ключей корневого уровня являются просто ссылками на часть реестра, расположенную в глубине другого корневого ключа.

Иерархическая структура реестра

Структура реестра похожа на структуру хранилища файлов.

Возможно, вам будет проще использовать терминологию реестра, обратившись к древовидным форматам или хранилищам файлов. Аналогия с файлами особенно уместна, потому что раньше Windows настраивалась из файлов .INI. В частности, сами ключи используют соглашения об именах файлов. Это удобная функция, поскольку Windows может управлять объектами реестра так же, как файловыми объектами. У кустов реестра есть символические ссылки, которые похожи на сопоставления виртуальных путей в файловой системе. Подразделы реестра также имеют владельцев и разрешения, как каталоги и папки.

Таблица «Терминология реестра»

Реестр	Другие деревья	Файловое хранилище
Куст (Hive)	Дерево	Файловая система
Ключ	Узел	Директория или папка
Подключ	Подузел	Поддиректория или подпапка
Значение	Ключ	Файл
Тип	Тип	Тип файла
Данные	Значение	Содержимое файла

Обратите внимание, что ключ может содержать подразделы или значения. Подраздел может иметь другой подраздел, поэтому ключ и подраздел обычно взаимозаменяемы так же, как каталог и подкаталог или папка и подпапка. Ключ без значения может хранить данные в так называемом значении по умолчанию.

Что такое куст или улей реестра (hive)?

В литературе, особенно посвящённой программам по анализу реестра, часто используются выражения «куст реестра» или «улей реестра», в английском языке это обозначается словом hive.

Говоря о программах для анализа реестра, под выражением «куст реестра» обычно понимается один из файлов SOFTWARE, SAM, SECURITY, SYSTEM и так далее. То есть кустом реестра является файл, в котором хранятся ключи корневого уровня или ключи корневого уровня.

В контексте «Редактора реестра» под кустом реестра может пониматься иерархическая часть реестра, необязательно расположенная в отдельном файле.

HKEY_CLASSES_ROOT

HKEY_CLASSES_ROOT, часто сокращённо HKCR, представляет собой куст реестра в реестре Windows и содержит информацию об ассоциации расширения файла, а также данные программного идентификатора (ProgID), идентификатора класса (CLSID) и идентификатора интерфейса (IID). Этот ключ на самом деле просто ссылка на HKLM\Software\Classes.

Проще говоря, куст реестра HKEY_CLASSES_ROOT содержит необходимую информацию, чтобы Windows знала, что делать, когда вы просите её сделать что-то, например, просмотреть содержимое диска или открыть файл определённого типа и т. д.

Вы также можете использовать этот раздел, если хотите настроить контекстное меню для определённого типа файла.

Подразделы реестра в HKEY_CLASSES_ROOT

Список ключей реестра в кусте HKEY_CLASSES_ROOT очень длинный и столь же запутанный. Мы не можем объяснить каждый из тысяч ключей, которые вы можете увидеть там, но мы можем разбить его на несколько управляемых частей, которые, надеюсь, немного прояснят эту часть реестра.

Вот некоторые из многих ключей ассоциации расширений файлов, которые вы найдёте в кусте HKEY_CLASSES_ROOT, большинство из которых начинаются с точки:

• HKEY_CLASSES_ROOT\.avi
• HKEY_CLASSES_ROOT\.bmp
• HKEY_CLASSES_ROOT\.exe
• HKEY_CLASSES_ROOT\.html
• HKEY_CLASSES_ROOT\.pdf
• HKEY_CLASSES_ROOT\AudioCD
• HKEY_CLASSES_ROOT\dllfile
• …

Каждый из этих разделов реестра хранит информацию о том, что Windows должна делать при двойном щелчке или двойном касании файла с этим расширением. Он может включать в себя список программ, которые можно найти в разделе «Открыть с помощью…» при щелчке/касании файла правой кнопкой мыши, а также путь к каждому из перечисленных приложений.

Например, на вашем компьютере, когда вы открываете файл с именем draft.rtf, этот файл может открываться с помощью программы WordPad. Данные реестра, которые отвечают за это, хранятся в ключе HKEY_CLASSES_ROOT\.rtf, который определяет WordPad как программу, которая должна открывать файл RTF.

HKCR и CLSID, ProgID и IID

Остальные ключи в HKEY_CLASSES_ROOT — это ключи ProgID, CLSID и IID. Вот несколько примеров каждого из них:

Ключи ProgID расположены в корне HKEY_CLASSES_ROOT вместе с описанными выше ассоциациями расширений файлов:

• HKEY_CLASSES_ROOT\FaxServer.FaxServer
• HKEY_CLASSES_ROOT\JPEGFilter.CoJPEGFilter
• HKEY_CLASSES_ROOT\WindowsMail.Envelope
• …

Все ключи CLSID находятся в подразделе CLSID:

• HKEY_CLASSES_ROOT\CLSID\
• HKEY_CLASSES_ROOT\CLSID\
• HKEY_CLASSES_ROOT\CLSID\
• …

Все ключи IID расположены в подразделе Интерфейс:

• HKEY_CLASSES_ROOT\Interface\
• HKEY_CLASSES_ROOT\Interface\
• HKEY_CLASSES_ROOT\Interface\
• …

Для чего нужны ключи ProgID, CLSID и IID, связано с некоторыми очень техническими аспектами компьютерного программирования и выходит за рамки этого обсуждения. Однако вы можете узнать больше обо всех трёх здесь, здесь и здесь соответственно.

Подробнее о HKEY_CLASSES_ROOT

Хотя вы можете редактировать и полностью удалять любой подраздел внутри куста HKEY_CLASSES_ROOT, сама корневая папка, как и все кусты в реестре, не может быть переименована или удалена.

HKEY_CLASSES_ROOT — это глобальный куст, что означает, что он может содержать информацию, которая применяется ко всем пользователям на компьютере и доступна для просмотра каждому пользователю. Это отличается от некоторых ульев, в которых есть информация, которая относится только к пользователю, выполнившему вход в систему.

Однако, поскольку куст HKEY_CLASSES_ROOT на самом деле представляет собой объединённые данные, обнаруженные как в кусте HKEY_LOCAL_MACHINE (HKEY_LOCAL_MACHINE\Software\Classes), так и в кусте HKEY_CURRENT_USER (HKEY_CURRENT_USER\Software\Classes), он также содержит информацию, специфичную для пользователя. Несмотря на то, что это так, HKEY_CLASSES_ROOT по-прежнему может просматривать любой пользователь.

Это, конечно, означает, что когда новый ключ реестра создаётся в кусте HKEY_CLASSES_ROOT, тот же самый ключ появится в HKEY_LOCAL_MACHINE\Software\Classes, а когда один из них будет удалён, тот же ключ будет удалён из другого места.

Если ключ реестра находится в обоих местах, но каким-то образом конфликтует, данные, найденные в кусте пользователя, выполнившего вход, HKEY_CURRENT_USER\Software\Classes, имеют приоритет и используются в HKEY_CLASSES_ROOT.

HKEY_CURRENT_USER

Содержит пользовательские настройки для текущего пользователя, вошедшего в систему, и обычно сокращённо записывается как HKCU. На самом деле это просто ссылка на HKEY_USERS\. Самый важный подключ здесь – HKCU\Software, который содержит настройки уровня пользователя для большей части вашего программного обеспечения.

HKEY_CURRENT_USER содержит информацию о конфигурации для Windows и программного обеспечения, специфичного для текущего пользователя, вошедшего в систему.

Например, различные значения реестра в различных разделах реестра, расположенных в кусте HKEY_CURRENT_USER, управляют параметрами пользовательского уровня, такими как установленные принтеры, обои рабочего стола, параметры отображения, переменные среды, раскладка клавиатуры, подключённые сетевые диски и многое другое.

Многие из параметров, которые вы настраиваете в различных апплетах на панели управления, фактически хранятся в кусте реестра HKEY_CURRENT_USER.

Подразделы реестра в HKEY_CURRENT_USER

Вот некоторые общие ключи реестра, которые вы можете найти в кусте HKEY_CURRENT_USER:

• HKEY_CURRENT_USER\AppEvents
• HKEY_CURRENT_USER\Console
• HKEY_CURRENT_USER\Control Panel
• HKEY_CURRENT_USER\Environment
• HKEY_CURRENT_USER\EUDC
• HKEY_CURRENT_USER\Identities
• HKEY_CURRENT_USER\Keyboard Layout
• HKEY_CURRENT_USER\Network
• HKEY_CURRENT_USER\Printers
• HKEY_CURRENT_USER\Software
• HKEY_CURRENT_USER\System
• HKEY_CURRENT_USER\Volatile Environment

Ключи реестра, расположенные в кусте HKEY_CURRENT_USER на вашем компьютере, могут отличаться от приведённого выше списка. Версия Windows, которую вы используете, и установленное вами программное обеспечение определяют, какие ключи могут там присутствовать.

Поскольку куст HKEY_CURRENT_USER зависит от пользователя, ключи и значения, содержащиеся в нем, будут отличаться от пользователя к пользователю даже на одном компьютере. В этом отличие от большинства других глобальных кустов реестра, таких как HKEY_CLASSES_ROOT, которые сохраняют одинаковую информацию для всех пользователей Windows.

Примеры HKCU

Ниже приводится некоторая информация о нескольких примерах ключей, найденных в кусте HKEY_CURRENT_USER:

• HKEY_CURRENT_USER\APPEVENTS\EVENTLABELS

Здесь можно найти ярлыки, звуки и описания для различных функций в Windows и сторонних приложениях, таких как звуковые сигналы факса, завершённые задачи iTunes, сигнал низкого заряда батареи, звуковые сигналы почты и т. д.

• HKEY_CURRENT_USER\CONTROL PANEL

В разделе \Control Panel\Keyboard находятся несколько параметров клавиатуры, такие как параметры задержки клавиатуры и скорости клавиатуры, оба из которых контролируются с помощью параметров задержки повторения и частоты повторения в апплете панели управления клавиатурой.

Mouse applet — ещё один, настройки которого хранятся в HKEY_CURRENT_USER\Control Panel\Mouse key. Некоторые параметры включают DoubleClickHeight, ExtendedSounds, MouseSensitivity, MouseSpeed, MouseTrails и SwapMouseButtons.

Ещё один раздел панели управления предназначен исключительно для курсора мыши, он находится в разделе «Cursors». Здесь хранятся имя и физическое расположение файлов курсоров по умолчанию и пользовательских курсоров. Windows использует файлы неподвижных и анимированных курсоров с расширениями файлов CUR и ANI соответственно, поэтому большинство файлов курсоров, найденных здесь, указывают на файлы этих типов в папке %SystemRoot%\cursors\.

То же самое верно и для клавиши рабочего стола панели управления HKCU, которая определяет множество параметров рабочего стола в таких значениях, как WallpaperStyle, который описывает, следует ли центрировать обои или растягивать их по дисплею. Другие в том же месте включают CursorBlinkRate, ScreenSaveActive, ScreenSaveTimeOut и MenuShowDelay.

• HKEY_CURRENT_USER\ENVIRONMENT

Ключ Environment — это то место, где находятся переменные среды, такие как PATH и TEMP. Изменения можно внести здесь или через проводник Windows, и они будут отражены в обоих местах.

• HKEY_CURRENT_USER\SOFTWARE

В этом разделе реестра перечислено множество записей программного обеспечения для конкретных пользователей. Одним из примеров является расположение программы веб-браузера Firefox. В этом подразделе находится значение PathToExe, объясняющее, где находится firefox.exe в папке установки:

HKEY_CURRENT_USER\Software\Mozilla\Mozilla Firefox\57.0

Подробнее о HKEY_CURRENT_USER

Улей HKEY_CURRENT_USER на самом деле является просто указателем на ключ, расположенный под кустом HKEY_USERS, который назван так же, как ваш идентификатор безопасности. Вы можете вносить изменения в любом месте, так как они одинаковы.

Причина, по которой HKEY_CURRENT_USER существует, учитывая, что это просто ориентир для другого улья, заключается в том, что он обеспечивает более простой способ просмотра информации. Альтернативный вариант — найти идентификатор безопасности вашей учётной записи и перейти в эту область в кусте HKEY_USERS.

Опять же, всё, что видно в HKEY_CURRENT_USER, относится только к пользователю, который в данный момент вошёл в систему, а не к другим пользователям, существующим на компьютере. Это означает, что каждый пользователь, который входит в систему, будет извлекать свою собственную информацию из соответствующего куста HKEY_USERS, что, в свою очередь, означает, что HKEY_CURRENT_USER будет отличаться для каждого пользователя, который его просматривает.

Из-за того, как это настроено, вы можете просто перейти к идентификатору безопасности другого пользователя в HKEY_USERS, чтобы увидеть всё, что они увидят в HKEY_CURRENT_USER, когда войдут в систему.

HKEY_LOCAL_MACHINE

Здесь хранятся все общесистемные настройки, и обычно он обозначается аббревиатурой HKLM. В основном вы будете использовать ключ HKLM\Software для проверки общесистемных настроек.

HKEY_LOCAL_MACHINE, часто сокращённо пишется как HKLM, является одним из нескольких кустов реестра, составляющих реестр Windows. Этот конкретный куст содержит большую часть информации о конфигурации установленного вами программного обеспечения, а также самой операционной системы Windows.

Помимо данных о конфигурации программного обеспечения, куст HKEY_LOCAL_MACHINE также содержит много ценной информации об обнаруженном оборудовании и драйверах устройств.

В Windows 10, Windows 8, Windows 7 и Windows Vista информация о конфигурации загрузки вашего компьютера также включена в этот куст.

Подразделы реестра в HKEY_LOCAL_MACHINE

Следующие разделы реестра находятся в кусте HKEY_LOCAL_MACHINE:

• HKEY_LOCAL_MACHINE\BCD00000000
• HKEY_LOCAL_MACHINE\COMPONENTS
• HKEY_LOCAL_MACHINE\DRIVERS
• HKEY_LOCAL_MACHINE\HARDWARE
• HKEY_LOCAL_MACHINE\SAM
• HKEY_LOCAL_MACHINE\Schema
• HKEY_LOCAL_MACHINE\SECURITY
• HKEY_LOCAL_MACHINE\SOFTWARE
• HKEY_LOCAL_MACHINE\SYSTEM

Ключи, расположенные в разделе HKEY_LOCAL_MACHINE на вашем компьютере, могут несколько отличаться в зависимости от вашей версии Windows и конкретной конфигурации вашего компьютера. Например, более новые версии Windows не включают ключ HKEY_LOCAL_MACHINE\COMPONENTS.

Подраздел HARDWARE содержит данные, относящиеся к BIOS, процессорам и другим аппаратным устройствам. Например, в HARDWARE находится DESCRIPTION > System > BIOS, где вы найдёте текущую версию BIOS и информацию о производителе материнской платы.

Раздел SOFTWARE является наиболее часто используемым из кустов HKLM. Он организован в алфавитном порядке по поставщикам программного обеспечения, и именно здесь каждая программа записывает данные в реестр, чтобы при следующем открытии приложения его конкретные настройки можно было применить автоматически, чтобы вам не приходилось перенастраивать программу каждый раз, когда она используется. Это также полезно при поиске SID пользователя.

Подраздел SOFTWARE также содержит подраздел Windows, который описывает различные детали пользовательского интерфейса операционной системы, подраздел Classes, детализирующий, какие программы связаны с какими расширениями файлов, и другие.

HKLM\SOFTWARE\Wow6432Node\ встречается в 64-битных версиях Windows, но используется 32-битными приложениями. Это эквивалент HKLM\SOFTWARE, но не совсем то же самое, поскольку он выделен с единственной целью предоставления информации 32-битным приложениям в 64-битной ОС. WoW64 показывает этот ключ 32-битным приложениям как «HKLM\SOFTWARE\».

Скрытые подразделы в HKLM

В большинстве конфигураций следующие подразделы являются скрытыми ключами, поэтому их нельзя просматривать, как другие разделы куста реестра HKLM:

• HKEY_LOCAL_MACHINE\SAM
• HKEY_LOCAL_MACHINE\SECURITY

В большинстве случаев эти ключи выглядят пустыми, когда вы их открываете, и/или содержат пустые подключи.

Подраздел SAM относится к информации о базах данных Security Accounts Manager (SAM) для доменов. В каждой базе данных есть псевдонимы групп, пользователи, гостевые учётные записи и учётные записи администраторов, а также имя, используемое для входа в домен, криптографические хэши пароля каждого пользователя и многое другое.

Подраздел SECURITY используется для хранения политики безопасности текущего пользователя. Он связан с базой данных безопасности домена, в котором пользователь вошёл в систему, или с кустом реестра на локальном компьютере, если пользователь вошёл в домен локальной системы.

Чтобы увидеть содержимое ключа SAM или SECURITY, редактор реестра должен быть открыт с использованием системной учётной записи, которая имеет более широкие права, чем любой другой пользователь, даже пользователь с правами администратора. Как это сделать, будет показано ниже.

После открытия редактора реестра с соответствующими разрешениями ключи HKEY_LOCAL_MACHINE\SAM и HKEY_LOCAL_MACHINE\SECURITY могут быть исследованы, как и любой другой ключ в кусте.

Некоторые бесплатные служебные программы, такие как PsExec от Microsoft, могут открывать редактор реестра с соответствующими разрешениями для просмотра этих скрытых ключей.

Подробнее о HKEY_LOCAL_MACHINE

Может быть интересно узнать, что HKEY_LOCAL_MACHINE на самом деле нигде на компьютере не существует, а вместо этого является просто контейнером для отображения фактических данных реестра, загружаемых через подключи, расположенные в кустах, перечисленных выше.

Другими словами, HKEY_LOCAL_MACHINE действует как ярлык для ряда других источников данных о вашем компьютере.

Из-за того, что HKEY_LOCAL_MACHINE не существует, ни вы, ни какая-либо установленная вами программа не может создавать дополнительные ключи в HKEY_LOCAL_MACHINE.

Улей HKEY_LOCAL_MACHINE является глобальным, что означает, что он один и тот же независимо от того, какой пользователь на компьютере просматривает его, в отличие от куста реестра, такого как HKEY_CURRENT_USER, который является специфическим для каждого пользователя, просматривающего его во время входа в систему.

Хотя HKEY_LOCAL_MACHINE часто пишется как HKLM, это не совсем «официальная» аббревиатура. Это важно знать, потому что некоторые программы в некоторых случаях, даже инструменты, доступные непосредственно от Microsoft, не позволяют сокращать имя куста в путях реестра таким образом. Если вы получаете сообщение об ошибке при использовании «HKLM», используйте вместо него полный путь и посмотрите, исправит ли это вашу проблему.

HKEY_USERS

Сохраняет все настройки для всех пользователей системы. Для доступа к своим настройкам, вы обычно используете HKCU, но если вам нужно проверить настройки для другого пользователя на вашем компьютере, вы можете использовать этот раздел.

HKEY_USERS, иногда называемый HKU, является одним из многих кустов реестра в реестре Windows.

Он содержит пользовательскую информацию о конфигурации для всех в настоящее время активных пользователей на компьютере. Это означает, что пользователи, вошедшие в систему в данный момент (вы) и любые другие пользователи, которые также вошли в систему, но находятся в состоянии «переключение пользователей».

Каждый раздел реестра, расположенный в кусте HKEY_USERS, соответствует пользователю в системе и назван с идентификатором безопасности этого пользователя или SID. Разделы реестра и значения реестра, расположенные под каждым параметром управления SID, относящимся к данному пользователю, например подключённые диски, установленные принтеры, переменные среды, фон рабочего стола и многое другое, загружаются при первом входе пользователя в систему.

Подразделы реестра в HKEY_USERS

Вот пример того, что вы можете найти под этим ульем:

• HKEY_USERS\.DEFAULT
• HKEY_USERS\S-1-5-18
• HKEY_USERS\S-1-5-19
• HKEY_USERS\S-1-5-20
• HKEY_USERS\S-1-5-21-1461214404-118510055-3688602372-1001
• HKEY_USERS\S-1-5-21-1461214404-118510055-3688602372-1001_Classes
• …

Идентификаторы безопасности, которые вы видите здесь, безусловно, будут отличаться от списка, который мы включили выше.

Хотя у вас, скорее всего, будут .DEFAULT, S-1-5-18, S-1-5-19 и S-1-5-20, которые соответствуют встроенным системным учётным записям, ваши ключи S-1-5-21-xxx будут уникальными для вашего компьютера, поскольку они соответствуют «реальным» учётным записям пользователей в Windows.

Подробнее о HKEY_USERS и SID

Улей HKEY_CURRENT_USER действует как своего рода ярлык для подраздела HKEY_USERS, соответствующего вашему SID.

Другими словами, когда вы вносите изменения в HKEY_CURRENT_USER, вы вносите изменения в ключи и значения под ключом в HKEY_USERS, который назван так же, как ваш SID.

Например, если ваш SID следующий:

S-1-5-21-0123456789-012345678-0123456789-1004

… HKEY_CURRENT_USER укажет на это:

HKEY_USERS\S-1-5-21-0123456789-012345678-0123456789-1004

Редактировать можно в любом месте, поскольку они являются одним и тем же.

Как найти идентификатор безопасности пользователя (SID) в Windows

Если вы хотите изменить данные реестра для пользователя, чей SID не отображается в HKEY_USERS, вы можете либо войти в систему как этот пользователь, и внести изменения, либо загрузить куст реестра этого пользователя вручную. Смотрите раздел ниже «Как загрузить куст реестра», если вам нужна помощь.

Помните, что, поскольку они одинаковы, если вы редактируете свои собственные настройки (настройки для пользователя, под которым вы в настоящее время вошли в систему), гораздо проще просто открыть HKEY_CURRENT_USER, чем определить свой собственный SID и затем вносить изменения в HKEY_USERS. Использование HKEY_USERS для доступа к папке SID для пользователя обычно полезно только в том случае, если вам нужно изменить значения реестра для пользователя, который в настоящее время не вошёл в систему.

Подключ HKEY_USERS\.DEFAULT в точности совпадает с подразделом HKEY_USERS\S-1-5-18. Любые изменения, внесённые в один, автоматически и мгновенно отражаются в другом, точно так же, как подключ SID текущего пользователя в HKEY_USERS идентичен значениям, найденным в HKEY_CURRENT_USER.

Также важно знать, что HKEY_USERS\.DEFAULT используется учётной записью LocalSystem, а не учётной записью обычного пользователя. Часто ошибочно принимают этот ключ за тот, который можно отредактировать, чтобы его изменения применялись ко всем пользователям, учитывая, что он называется «по умолчанию» (DEFAULT), но это не так.

Два других подраздела HKEY_USERS в реестре Windows, которые используются системными учётными записями, включают S-1-5-19, который предназначен для учётной записи LocalService, и S-1-5-20, который используется учётной записью NetworkService.

HKEY_CURRENT_CONFIG

Хранит всю информацию о текущей конфигурации оборудования. Он используется не очень часто, и это просто ссылка на HKLM\SYSTEM\CurrentControlSet\Hardware Profiles\Current.

HKEY_CURRENT_CONFIG, иногда сокращенно HKCC, представляет собой куст реестра, который является частью реестра Windows. Сам он не хранит никакой информации, а вместо этого действует как указатель или ярлык для раздела реестра, в котором хранится информация об используемом в данный момент профиле оборудования.

HKEY_CURRENT_CONFIG — это ярлык для улья HKEY_LOCAL_MACHINE. В частности, в раздел реестра \SYSTEM\CurrentControlSet\Hardware Profiles\Current\ этого куста. Именно там информация действительно хранится — HKEY_CURRENT_CONFIG просто предоставляет быстрый способ добраться туда.

Следовательно, HKEY_CURRENT_CONFIG действительно существует просто для удобства. Легче получить доступ к данным в другом разделе реестра — просмотреть и изменить его, просто перейдя в HKEY_CURRENT_CONFIG. Поскольку они содержат одинаковую информацию и всегда связаны друг с другом, вы можете вносить изменения в любом месте, чтобы получить одинаковые результаты.

Подразделы реестра в HKEY_CURRENT_CONFIG

Два ключа реестра, которые вы найдёте в кусте HKEY_CURRENT_CONFIG:

• HKEY_CURRENT_CONFIG\Software
• HKEY_CURRENT_CONFIG\System

Подробнее о HKEY_CURRENT_CONFIG

Как мы уже говорили выше, HKEY_CURRENT_CONFIG реплицирует всё, что находится в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\Current\. Это означает, что если вы измените что-либо в первом разделе реестра, это будет отражено во втором, и наоборот.

Например, если вы добавляете, редактируете, удаляете или переименовываете что-либо в разделе HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles\Current\Software\, а затем выйдите из редактора реестра и повторно откройте его (или обновите его с помощью клавиши F5), вы увидите что изменение произошло немедленно в ключе the HKEY_CURRENT_CONFIG\Software\.

Вы можете заметить, что внутри HKLM\SYSTEM\CurrentControlSet\Hardware Profiles\ есть несколько ключей реестра. Это потому, что этот раздел реестра используется для хранения всех профилей оборудования для всего компьютера. Причина, по которой вы видите только один профиль оборудования в ключе HKEY_CURRENT_CONFIG, заключается в том, что он указывает только на один из этих профилей оборудования, в частности, на тот, который относится к пользователю, который в данный момент вошёл в систему.

В некоторых версиях Windows вы можете создать дополнительные профили оборудования, щёлкнув ссылку «Система» на панели управления. Щёлкните или коснитесь вкладки «Оборудование», а затем «Профили оборудования».

Где реестр хранится на диске?

Файлы реестра хранятся в нескольких местах.

Вы можете найти большинство из них в папке C:\Windows\System32\config.

Видите эти файлы SAM, SECURITY, SOFTWARE и SYSTEM? Они соответствуют тем же ключам в папке HKEY_LOCAL_MACHINE.

Данные для ветви HKEY_CURRENT_USER хранятся в вашей пользовательской папке в скрытом файле NTUSER.DAT. Этот файл свой у каждого пользователя операционной системы, то есть на одном компьютере таких файлов может быть много.

В следующей таблице перечислены все каталоги Windows, в которых можно найти файлы данных реестра. Эти файлы фактически являются снимками большинства, но не всех кустов реестра. В таблице 3 приведены основные расположения файлов. Если вы посмотрите на свой диск, вы увидите, что в каждом из этих каталогов есть дополнительные подкаталоги.

Есть несколько типов файлов реестра

Первичные файлы реестра обычно не имеют расширения (за исключением NTUser.dat), но есть и другие файлы. Они прикрепляют расширение ко всему имени файла, включая исходное расширение. Таблица 4 показывает большинство из этих типов файлов.

Расширение файла	Пример имён файлов	Цель
нет	System NTUser.dat	Резервная копия куста, созданная в Configuration Manager
ALT	System.alt	Резервное копирование системного ключа, создаваемых в Configuration Manager
BLF	NTUSER.DAT.TM.blf	Файлы транзакций TxR 1
LOG, LOGn	System.log, System.log1 и т.д. NTUser.dat.log, NTUser.dat.log1 и т.д.	Журнал транзакций изменений ключа и значения, создаваемых Configuration Manager
REGTRANS-MS	NTUSER.DAT .TMContainer00000000000000000001 .regtrans-ms	Файлы транзакций TxR 1
REG	нет стандартных имён	Файлы записей регистрации созданные RegEdit и другими программами.
SAV	System.sav	Файл начальной установки SYSTEM для Windows Vista и 7. Резервная копия конфигурации системы Windows 2000, XP, 2003 в конце запуска текстового режима перед запуском графического режима. Если графический режим не работает, перезапуск загружает файл .sav, чтобы пропустить текстовый режим.

1 Начиная с Vista, Transactional Registry (TxR) выполняет обновления транзакций, которыми управляет Transaction Manager (TM) режима ядра Windows. Это обеспечивает атомарные транзакции, при которых все обновления выполняются вместе или не выполняются вовсе. Диспетчер транзакций использует общую файловую систему ведения журнала и хранит файлы реестра в папке %SystemRoot%\System32\Config\ (например, C:\Windows\System32\Config\) и во вложенной папке Txr, а также в других папках реестра.

Создание новых ключей и значений

Щелчок правой кнопкой мыши по любой клавише в левой части окна предоставит вам набор параметров, большинство из которых довольно просты и легки для понимания.

Вы можете создать новый ключ, который будет отображаться как папка с левой стороны, или новое значение, которое будет отображаться с правой стороны. Эти значения могут немного сбивать с толку, но на самом деле есть только пара значений, которые используются регулярно.

• Строковый параметр (REG_SZ) — содержит всё, что вписывается в обычную строку. В подавляющем большинстве случаев вы можете редактировать строки, читаемые человеком, не нарушая при этом ничего.
• Двоичный параметр (REG_BINARY) — это значение содержит произвольные двоичные данные, и вы почти никогда не захотите пытаться редактировать один из этих ключей.
• Параметр DWORD (32 бита) (REG_DWORD) — они почти всегда используются для обычного целочисленного значения, будь то просто 0 или 1, или числа от 0 до 4 294 967 295.
• Параметр QWORD (64-битное) (REG_QWORD) — они не очень часто используются для работы с реестром, но в основном это 64-битное целочисленное значение.
• Мультистроковый параметр (REG_MULTI_SZ) — эти значения довольно необычны, но работают в основном как окно блокнота. Вы можете ввести многострочную текстовую информацию в такое поле.
• Расширяемый строковый парамер (REG_EXPAND_SZ) — эти переменные имеют строку, которая может содержать переменные среды и часто используется для системных путей. Таким образом, строка может быть %SystemDrive%\Windows, которая разворачивается в C:\Windows. Это означает, что, когда вы найдёте значение в реестре, которое настроено на этот тип, вы можете изменить или вставить переменные среды, и они будут «расширены» перед использованием строки.

Интересный факт: DWORD — это сокращение от «двойного слова», потому что «слово» — это термин для единицы данных по умолчанию, используемой процессором, и когда была создана Windows, это было 16 бит. Таким образом, «слово» – это 16 бит, а «двойное слово» — 32 бита. Хотя все современные процессоры являются 64-битными, реестр по-прежнему использует старый формат для совместимости.

Меню избранного

Одна из действительно полезных функций, которую, кажется, никто не замечает, — это меню «Избранное», которое отлично подходит, если вы хотите регулярно проверять место в реестре. Что действительно забавно, так это то, что вы можете экспортировать список избранного и использовать его снова на другом компьютере, без необходимости настраивать на новой машине заново. То есть вы можете перенести список избранного с самыми востребованными местами реестра на любую систему.

Это также отличный способ добавить что-нибудь в реестр, если вы просматриваете несколько мест, чтобы вы могли легко вернуться к тому месту, где вы были в последний раз.

Экспорт файлов реестра

Вы можете экспортировать разделы реестра и все значения, содержащиеся под ними, щёлкнув правой кнопкой мыши раздел и выбрав «Экспортировать». Это действительно важно, если вы собираетесь вносить изменения в свою систему.

После того, как вы получили экспортированный файл реестра, вы можете дважды щёлкнуть по нему, чтобы ввести информацию обратно в реестр, или вы можете выбрать «Изменить», чтобы просмотреть содержимое в Блокноте.

Формат файла для реестра довольно прост — слева имена значений, а справа фактические значения.

Установка разрешений

Некоторые ключи реестра не позволяют вносить изменения по умолчанию. Обычно это происходит потому, что у вас нет разрешений на эти ключи, но вы можете настроить схему разрешений, если хотите, щёлкнув правой кнопкой мыши ключ и выбрав Разрешения, а затем изменив их оттуда.

Следует отметить, что это не очень хорошая идея, и обычно вам следует держаться подальше от редактирования разделов и ключей, на которые по умолчанию у вас нет прав.

Загрузка кустов реестра

Вы можете использовать функцию Файл → Загрузить куст для загрузки реестра из автономной системы. Возможно, вы устраняете неполадки на другом компьютере и хотите узнать, что происходит в реестре системы, которая не загружается. Итак, вы загружаете систему с аварийного диска или, может быть, с Live CD с Linux, а затем копируете файлы реестра на свой флэш-накопитель.

Теперь вы можете открыть их на другом компьютере и осмотреться, используя опцию Загрузить куст.

Как получить доступ к закрытым частям реестра SAM и SECURITY

Как уже было сказано, разделы реестра

• HKEY_LOCAL_MACHINE\SAM
• HKEY_LOCAL_MACHINE\SECURITY

не показываются в программе «Редактор реестра»:

Чтобы их увидеть необходимо открыть программу regedit с правами уровня аккаунта System. Дело в том, что права Администратора не являются самыми высокими в Windows. Наивысшие права у System.

Открыть любую программу с правами System можно с помощью утилиты PsExec. Эта утилита входит в PSTools от SysInternals. Если коротко, это официальная утилита Microsoft. Подробности и ссылку на скачивания вы найдёте в статье «Что такое инструменты SysInternals и как их использовать?».

После того как скачали и распаковали архив PSTools, необходимо в командной строке перейти в папку с программой. Помните, что запустить программу с правами аккаунта System можно только если командная строка открыта с правами администратора! Для этого нажмите Win+x и выберите «Windows PowerShell (администратор)».

С помощью cd перейдите в папку с распакованными утилитами SysInternals, например:

cd C:\Users\MiAl\Downloads\PSTools\

Теперь запустите программу PsExec с ключами -s и -i:

.\PsExec64.exe -s -i regedit.exe

В результате вы сможете увидеть и отредактировать содержимое кустов реестра HKEY_LOCAL_MACHINE\SAM и HKEY_LOCAL_MACHINE\SECURITY. Помните, что редактирование данных кустов может привести к полной неработоспособности системы, в результате чего она не будет загружаться!

Утилита REG

Утилита REG — это встроенная программа Windows, которая позволяет выполнять различные действия с реестром, в том числе сохранять в файл кусты реестра или их части, добавлять, удалять значения, делать запрос к реестру, копировать и прочее.

Рассмотрим возможности REG более подробно.

Общий вид команды:

REG [Список параметров]

Среди операций могут быть:

REG SAVE — сохранение куста реестра в файл

REG SAVE  [/y] [/reg:32 | /reg:64]

имя_раздела КОРЕНЬ\ КОРЕНЬ [ HKLM | HKCU | HKCR | HKU | HKCC ] подраздел Полное имя подраздела реестра в одном из выбранных корневых файлов. имя_файла Имя диска, на который сохраняется файл. Если путь не указан, то файл создается в текущей папке вызывающего процесса. /y Выполнение замены существующего файла без запроса подтверждения. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Пример. Сохранение куста MyApp в файл AppBkUp.hiv текущей папки:

REG SAVE HKLM\Software\MyCo\MyApp AppBkUp.hiv

REG QUER — отображение значения параметра реестра

REG QUERY имя_раздела [/v [имя_параметра] | /ve] [/s] [/f данные [/k] [/d] [/c] [/e]] [/t тип] [/z] [/se разделитель] [/reg:32 | /reg:64]

имя_раздела [\\компьютер\]полное_имя_раздела компьютер — имя удаленного компьютера, по умолчанию используется текущий компьютер. На удаленных компьютерах доступны только разделы HKLM и HKU полное_имя_раздела — путь в форме корневой_раздел\подраздел корневой раздел — [ HKLM | HKCU | HKCR | HKU | HKCC ] подраздел — полное имя раздела реестра в указанном корневом_разделе /v Запросы требуемых параметров в указанном разделе реестра. Если не указано, запрашиваются все параметры раздела. Аргумент этого параметра может быть необязательным, только если задан параметр /f. Это указывает на поиск только в именах параметров реестра. /ve Запросы параметра по умолчанию или с пустым именем (по умолчанию). /s Запрос всех вложенных подразделов и их параметров (аналогично команде dir /s). /se Указание разделителя (длиной в 1 знак) в строке данных для REG_MULTI_SZ. По умолчанию в качестве разделителя используется "\0". /f Данные или шаблон для поиска. Если строка содержит пробелы, заключайте ее в кавычки. Значение по умолчанию: "*". /k Указывает на поиск только в именах разделов. /d Указывает на поиск только в данных. /c Указывает на учет регистра знаков при поиске. По умолчанию при поиске регистр знаков не учитывается. /e Указывает на возврат только точных совпадений. По умолчанию возвращаются все совпадения. /t Указывает тип данных параметра реестра. Допустимые типы: REG_SZ, REG_MULTI_SZ, REG_EXPAND_SZ, REG_DWORD, REG_QWORD, REG_BINARY, REG_NONE По умолчанию будут использоваться все типы. /z Подробности: отображение числового кода типа имени значения. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Отображение значения параметра реестра Version:

REG QUERY HKLM\Software\Microsoft\ResKit /v Version

Отображение всех подразделов и их параметров в разделе реестра Setup удаленного компьютера ABC:

REG QUERY \\ABC\HKLM\Software\Microsoft\ResKit\Nt\Setup /s

Отображение всех подразделов и параметров со знаком “#” в качестве разделителя для всех параметров типа REG_MULTI_SZ:

REG QUERY HKLM\Software\Microsoft\ResKit\Nt\Setup /se #

Отображение раздела, параметра и данных с учетом реестра букв для точных совпадений с “SYSTEM” типа REG_SZ из корневого раздела HKLM:

REG QUERY HKLM /f SYSTEM /t REG_SZ /c /e

Отображение раздела, параметра и данных для совпадений с “0F” типа REG_BINARY среди данных в корневом разделе HKCU:

REG QUERY HKCU /f 0F /d /t REG_BINARY

Отображение параметра и данных для пустого значения (по умолчанию) в разделе HKLM\SOFTWARE:

REG QUERY HKLM\SOFTWARE /ve

REG ADD — добавление разделов и параметров в реестр

REG ADD [/v | /ve] [/t ] [/s ] [/d ] [/f] [/reg:32 | /reg:64]

имя_раздела [\\\] Компьютер — имя удаленного компьютера. Если оно опущено, то по умолчанию используется локальный компьютер. На удаленном компьютере доступны только корневые разделы HKLM и HKU. Раздел — КОРЕНЬ\ КОРЕНЬ — [ HKLM | HKCU | HKCR | HKU | HKCC ] Подраздел — полное имя подраздела реестра в указанном корневом разделе. /v Имя параметра, добавляемого в выбранный раздел. /ve Добавление параметра с пустым именем (по умолчанию) в этот раздел. /t Тип данных [ REG_SZ | REG_MULTI_SZ | REG_EXPAND_SZ | REG_DWORD | REG_QWORD | REG_BINARY | REG_NONE ] Если не указывается, то по умолчанию используется REG_SZ. /s Символ, используемый в качестве разделителя данных для параметров типа REG_MULTI_SZ. Если не указан, то в качестве разделителя используется "\0". /d Значение, присваиваемое добавляемому параметру реестра. /f Принудительно перезаписывает существующую запись реестра без запроса подтверждения. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Добавляет раздел HKLM\Software\MyCo на удаленном компьютере ABC:

REG ADD \\ABC\HKLM\Software\MyCo

Добавляет параметр (имя: Data, тип: REG_BINARY, данные: fe340ead):

REG ADD HKLM\Software\MyCo /v Data /t REG_BINARY /d fe340ead

Добавляет параметр (имя: MRU, тип: REG_MULTI_SZ, данные: fax\0mail\0\0):

REG ADD HKLM\Software\MyCo /v MRU /t REG_MULTI_SZ /d fax\0mail

Добавляет параметр (имя: Path, тип: REG_EXPAND_SZ, данные: %systemroot%) Примечание. В расширяемой строке используйте знак вставки ( ^ ):

REG ADD HKLM\Software\MyCo /v Path /t REG_EXPAND_SZ /d ^%systemroot^%

REG DELETE — удаление раздела или параметра реестра

REG DELETE [/v | /ve | /va] [/f] [/reg:32 | /reg:64]

имя_раздела [\\\] компьютер Имя удаленного компьютера; если оно опущено, по умолчанию используется локальный компьютер. На удаленном компьютере можно использовать только корневые разделы HKLM и HKU. раздел КОРЕНЬ\подраздел КОРЕНЬ [ HKLM | HKCU | HKCR | HKU | HKCC ] подраздел Полное имя подраздела реестра в одном из выбранных корневых разделов. имя_параметра Имя параметра, удаляемого из выбранного раздела. Если оно опущено, удаляются все подразделы и значения указанного раздела. /ve Удаляет пустое имя параметра (по умолчанию). /va Удаляет все параметры в указанном разделе. /f Выполняет принудительное удаление без запроса подтверждения. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Удаляет раздел реестра Timeout и все его подразделы и параметры:

REG DELETE HKLM\Software\MyCo\MyApp\Timeout

Удаляет параметр реестра MTU из раздела MyCo на компьютере ZODIAC:

REG DELETE \\ZODIAC\HKLM\Software\MyCo /v MTU

REG COPY — копирование подразделов и параметров

REG COPY  [/s] [/f] [/reg:32 | /reg:64]

раздел Имя раздела в формате: [\\Компьютер\]Путь компьютер Имя удаленного компьютера: если оно опущено, то по умолчанию считается равным имени локального компьютера. Для удаленных компьютеров доступны только HKLM и HKU. путь Полный путь к разделу реестра в виде: КОРЕНЬ\Подраздел. КОРЕНЬ Корневой раздел. Значения: [ HKLM | HKCU | HKCR | HKU | HKCC ]. подраздел Полный путь к разделу реестра в выбранном корневом разделе. /s Копирование всех подразделов и параметров. /f Принудительное копирование без дополнительного предупреждения. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Копирует все подразделы и параметры раздела MyApp в раздел SaveMyApp:

REG COPY HKLM\Software\MyCo\MyApp HKLM\Software\MyCo\SaveMyApp /s

Копирует все параметры раздела MyCo с компьютера ZODIAC в раздел MyCo1 на локальном компьютере:

REG COPY \\ZODIAC\HKLM\Software\MyCo HKLM\Software\MyCo1

REG RESTORE — восстановление раздела из файла (с заменой)

REG RESTORE  [/reg:32 | /reg:64]

имя_раздела ROOTKEY\SubKey (только локальный компьютер) ROOTKEY [ HKLM | HKCU | HKCR | HKU | HKCC ] SubKey Полное имя подраздела реестра, в который восстанавливается файл куста. Замена существующих параметров разделов и подразделов. имя_файла Имя файла куста, подлежащего восстановлению. Чтобы создать данный файл, необходимо использовать REG SAVE. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Примеры. Восстановление файла NTRKBkUp.hiv заменой раздела ResKit:

REG RESTORE HKLM\Software\Microsoft\ResKit NTRKBkUp.hiv

REG LOAD — загрузка файла в раздел

REG LOAD  [/reg:32 | /reg:64]

имя_раздела КОРЕНЬ\ (только локальный компьютер) КОРЕНЬ [ HKLM | HKU] подраздел Имя подраздела реестра, в который загружается файл куста. Создание нового раздела. имя_файла Имя файла куста, подлежащего загрузке. Чтобы создать данный файл, необходимо использовать REG SAVE. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Примеры. Загрузка файла TempHive.hiv в раздел HKLM\TempHive:

REG LOAD HKLM\TempHive TempHive.hiv

REG UNLOAD — выгрузка куста реестра

REG UNLOAD

имя_раздела КОРЕНЬ\ (только локальный компьютер) КОРЕНЬ [ HKLM | HKU] подраздел Имя подраздела куста, в который выгружается файл.

Примеры. Выгрузка куста реестра TempHive в HKLM:

REG UNLOAD HKLM\TempHive

REG COMPARE — сравнение разделов и значений

REG COMPARE  [/v | /ve] [вывод] [/s] [/reg:32 | /reg:64]

имя_раздела [\\\] компьютер Имя удаленного компьютера, если оно опущено, по умолчанию используется локальный компьютер. На удаленном компьютере можно использовать только корневые разделы HKLM и HKU. имя_раздела КОРЕНЬ\ Если имя раздела 1 не указано, то имя раздела 2 равно имени раздела 1. КОРЕНЬ [ HKLM | HKCU | HKCR | HKU | HKCC ] подраздел Полное имя подраздела реестра в одном из выбранных корневых разделов. имя_параметра Имя параметра в выбранном разделе, подлежащее сравнению. Если опущено, то сравниваются все параметры в разделе. /ve Сравнение параметров раздела с пустым именем (по умолчанию). /s Сравнение всех подразделов и параметров. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений. Вывод [/oa | /od | /os | /on] Если опущен, то выводятся только различия. /oa Вывод всех различий и совпадений. /od Вывод только различий. /os Вывод только совпадений. /on Без вывода. Код возврата: 0 - Успешно, сравниваемые данные идентичны 1 - При обработке произошла ошибка 2 - Успешно, сравниваемые данные отличаются Примечание: Символы в начале каждой строки читаются следующим образом: = данные FullKey1 равны данным FullKey2 < относится к данным FullKey1, если они отличаются от данных FullKey2 >относится к данным FullKey2, если они отличаются от данных FullKey1

Сравнивает все значения в разделе MyApp со значениями раздела SaveMyApp:

REG COMPARE HKLM\Software\MyCo\MyApp HKLM\Software\MyCo\SaveMyApp

Сравнивает значения Version в разделах MyCo и MyCo1:

REG COMPARE HKLM\Software\MyCo HKLM\Software\MyCo1 /v Version

Сравнивает все подразделы и значения параметров в разделе HKLM\Software\MyCo реестра на компьютере ZODIAC с аналогичным разделом на текущем компьютере:

REG COMPARE \\ZODIAC\HKLM\Software\MyCo \\. /s

REG EXPORT — экспорт всех подразделов и параметров раздела

REG EXPORT  [/y] [/reg:32 | /reg:64]

имя_раздела КОРЕНЬ\ (только локальный компьютер). КОРЕНЬ [ HKLM | HKCU | HKCR | HKU | HKCC ] подраздел Полное имя подраздела реестра в одном из выбранных корневых разделов. имя_файла Имя диска, на который экспортируется файл /y Выполнение замены существующего файла без запроса подтверждения. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Пример. Экспорт всех подразделов и параметров раздела MyApp в файл AppBkUp.reg:

REG EXPORT HKLM\Software\MyCo\MyApp AppBkUp.reg

REG IMPORT — импорт записей реестра из файла

REG IMPORT [/reg:32 | /reg:64]

имя_файла Имя диска, с которого импортируется файл (только локальный компьютер). /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Пример. Импорт записей реестра из файла AppBkUp.reg:

REG IMPORT AppBkUp.reg

REG FLAGS — отображает и устанавливает текущие флаги раздела

REG FLAGS имя_раздела [QUERY | SET [DONT_VIRTUALIZE] [DONT_SILENT_FAIL] [RECURSE_FLAG]] [/reg:32 | /reg:64]

имя_раздела "HKLM\Software"[\подраздел] (ограничено этими разделами только на локальном компьютере). Подраздел Полное имя раздела реестра в узле HKLM\Software. DONT_VIRTUALIZE DONT_SILENT_FAIL RECURSE_FLAG Используется вместе с параметром SET; флаги, указанные в командной строке, будут установлены, не указанные — удалены. /reg:32 Указывает, что к разделу реестра следует обращаться с помощью представления для 32-разрядных приложений. /reg:64 Указывает, что к разделу реестра следует обращаться с помощью представления для 64-разрядных приложений.

Отображает текущие флаги раздела MyApp:

REG FLAGS HKLM\Software\MyCo\MyApp QUERY

Устанавливает флаг DONT_VIRTUALIZE (и удаляет флаги DONT_SILENT_FAIL и RECURSE_FLAG) для раздела MyApp и всех его подразделов:

REG FLAGS HKLM\Software\MyCo\MyApp SET DONT_VIRTUALIZE /s

Программы для извлечения информации из реестра Windows

mimikatz

Программа mimikatz имеет много функций, связанных с безопасностью Windows и хранимыми паролями. Среди прочего, программа умеет извлекать пароли, секреты и хеши как из системы, на которой запущена, так и из сохранённых файлов кустов реестра.

• Как взломать пароль Windows
• Расшифровка хранимых в Windows паролей с помощью mimikatz и DPAPI
• Атака Pass-the-hash (как использовать NTLM без взлома пароля)

Из полученных хешей может быть взломан пароль пользователя.

RegRippy (regrip.py)

RegRippy — это платформа для чтения и извлечения полезных данных для судебной экспертизы из кустов реестра Windows.

Установка в Kali Linux

sudo apt install python3-pip sudo pip3 install regrippy

Установка в BlackArch

sudo pacman -R regrippy python-enum-compat python-python-registry python-unicodecsv sudo pip3 install regrippy

Данная программа также может быть установлена в Windows, подробности здесь.

Пример команды, которая получает имя компьютера (compname), которому принадлежит куст реестра, расположенный по пути /mnt/disk_d/Share/config/SYSTEM (–system /mnt/disk_d/Share/config/SYSTEM):

regrip.py compname --system /mnt/disk_d/Share/config/SYSTEM

HACKWARE-MIAL

Пример команды, которая выводит информацию о пользователе, выполнившем последний вход (lastloggedon) используя куст реестра SOFTWARE (–software /mnt/disk_d/Share/config/SOFTWARE):

regrip.py lastloggedon --software /mnt/disk_d/Share/config/SOFTWARE

LastLoggedOnSAMUser .\MiAl LastLoggedOnUser .\MiAl LastLoggedOnUserSID S-1-5-21-1461214404-118510055-3688602372-1001

RegRipper

RegRipper — это инструмент с открытым исходным кодом, написанный на Perl, для извлечения/анализа информации (ключей, значений, данных) из реестра и представления её для анализа.

RegRipper состоит из двух основных инструментов, каждый из которых обеспечивает схожие возможности. Графический интерфейс RegRipper позволяет аналитику выбрать куст реестра для анализа, выходной файл для результатов и профиль (список подключаемых модулей) для работы с кустом. Когда аналитик запускает инструмент в отношении куста реестра, результаты попадают в файл, указанный аналитиком. Если аналитик решит проанализировать куст System, он также может отправить результаты в system.txt. Инструмент с графическим интерфейсом пользователя также создаст журнал своей активности в том же каталоге, что и выходной файл, используя то же имя файла, но с расширением .log (то есть, если выходные данные записываются в system.txt, журнал будет записан в system.log).

RegRipper также включает инструмент командной строки (CLI) под названием rip. Rip может быть направлен для анализа куста и может запускать либо профиль (список плагинов), либо отдельный плагин для этого куста, с отправкой результатов в STDOUT. Rip можно включать в пакетные файлы, используя операторы перенаправления для отправки вывода в файл. Rip не ведёт журнал своей деятельности.

Установка и запуск в Linux

Скачайте необходимые файлы:

git clone https://github.com/keydet89/RegRipper3.0 cd RegRipper3.0

Запускать проще всего с Wine, поэтому начните с его установки по Полному руководство по Wine: от установки до примеров использования.

wine rr.exe

Установка в Windows

Чтобы открыть графический интерфейс, дважды кликните файл rr.exe.

Если вы хотите воспользоваться утилитой с интерфейсом командной строки, то откройте PowerShell или CMD, перейдите в папку с распакованным архивом и запустите файл

rip.exe

Запуск программы с графическим интерфейсом в Linux:

wine rr.exe

Выберите ветвь реестра для анализа и имя файла для сохранения отчёта.

Затем нажмите кнопку «Rip!».

Дождитесь завершения работы.

Откройте файл с отчётом.

Registry Explorer

Registry Explorer — это инструмент на основе графического интерфейса, используемый для просмотра содержимого автономных кустов реестра. Он может загружать несколько кустов сразу, выполнять поиск по всем загруженным кустам с использованием строк или регулярных выражений, выполняет экспорт данных, вы можете установить закладки на выбранные фрагменты, сохранить сделанные изменения в проект и многое другое.

Установка Registry Explorer в Windows

Программа предназначена для работы на Windows и требует полное окружение рабочей среды Microsoft .net framework версии 4.6 или выше (можно скачать по ссылке https://www.microsoft.com/en-us/download/details.aspx?id=49982).

Со страницы https://ericzimmerman.github.io/ скачайте архив «Registry Explorer/RECmd». Распакуйте его в любую папку, программа является портативной и не требует установки.

Для запуска графического интерфейса дважды кликните файл RegistryExplorer.exe.

creddump

creddump — это инструмент Python для извлечения различных учётных данных и секретов из кустов реестра Windows. В настоящее время он извлекает:

• LM и NT хеши (защищены SYSKEY)
• Кешированные пароли домена
• Секреты LSA

Программа предустановлена в Kali Linux.

Установка в BlackArch:

sudo pacman -S creddump

Пример команды, которая выводит хеши локальных паролей, кусты реестра расположены в файлах /mnt/disk_d/Share/config/SYSTEM и /mnt/disk_d/Share/config/SAM:

python2 ./pwdump.py /mnt/disk_d/Share/config/SYSTEM /mnt/disk_d/Share/config/SAM

Администратор:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0. Гость:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0. DefaultAccount:503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0. WDAGUtilityAccount:504:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0. MiAl:1001:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0. Tester:1002:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0.

regipy

Regipy — это библиотека Python для анализа автономных кустов реестра.

• Выгрузить весь куст реестра в json
• Завершить транзакций в кусте реестра в соответствии с журналами
• Сравнить кусты реестра
• Выполнить извлечение информации с помощью плагинов

Установка в Kali Linux

sudo apt install python3-pip sudo pip3 install regipy

Установка в BlackArch

sudo pacman -S regipy

Запуск плагинов для извлечения информации из куста SYSTEM и сохранение результатов в файл plugins_output.json:

registry-plugins-run ~/Documents/TestEvidence/Registry/SYSTEM -o /tmp/plugins_output.json

Тип куста будет определён автоматически, и будут запущены соответствующие плагины.

chntpw

chntpw — эта небольшая программа позволяет просматривать информацию и изменять пароли пользователей в файле базы данных пользователей Windows NT/2000. Старые пароли не нужно знать, поскольку они будут перезаписаны. Кроме того, она также содержит простой редактор реестра (запись данных того же размера) и шестнадцатеричный редактор, который позволяет вам возиться с битами и байтами в файле по своему усмотрению.

Программа предустановлена в Kali Linux.

Установка в BlackArch

sudo pacman -S chntpw

Сброс пароля пользователя ShareOverlord (-u ShareOverlord), когда куст реестра расположен по пути /mnt/windows/Windows/System32/config/SAM:

sudo /usr/sbin/chntpw /mnt/windows/Windows/System32/config/SAM -u ShareOverlord

Разблокировка пользователя Администратор:

sudo /usr/sbin/chntpw /mnt/windows/Windows/System32/config/SAM -u Администратор

Утилиты NirSoft для работы с реестром

Подробности о программах данного автора смотрите в статье «Утилиты NirSoft для извлечения информации из Windows», для работы с реестром обратите внимание на такие утилиты как:

Извлечение кустов реестра Windows из виртуальных машин

С помощью утилиты virt-win-reg, входящий в пакет libguestfs, можно извлекать кусты реестра Windows напрямую из виртуальных дисков даже не запуская виртуальные машины. Подробности о libguestfs смотрите в разделе «Доступ к содержимому образов виртуальных машин и их изменение».

Программа virt-win-reg позволяет извлекать кусты реестра Windows, в том числе те, которые доступны только для учётной записи System.

Общий вид команды:

virt-win-reg '/ПУТЬ/ДО/ВИРТУАЛЬНОГО/ДИСКА' 'ИМЯ\КУСТА'

По умолчанию содержимое будет выведено на экран, поэтому для сохранения данных в файл нужно воспользоваться перенаправлением вывода.

Например, команда для извлечения куста HKEY_LOCAL_MACHINE\SYSTEM из операционной системы Windows, чей виртуальный диск расположен в /mnt/disk_d/Виртуальные машины/Windows 10 (en).vdi и сохранение полученных данных в файл SYSTEM.reg:

virt-win-reg '/mnt/disk_d/Виртуальные машины/Windows 10 (en).vdi' 'HKEY_LOCAL_MACHINE\SYSTEM' > SYSTEM.reg

Ещё один пример, извлечение куста реестра HKEY_LOCAL_MACHINE\SAM из образа диска /mnt/disk_d/Виртуальные машины/Windows Server 2019.vdi и сохранение данных в файл SAM.reg:

virt-win-reg '/mnt/disk_d/Виртуальные машины/Windows Server 2019.vdi' 'HKEY_LOCAL_MACHINE\SAM' > SAM.reg

winregfs

Программа winregfs монтирует реестр Windows в файловую систему. Благодаря этому по иерархии ключей можно переходить как по обычным папкам, а значения можно редактировать как обычные текстовые файлы.

Также включён инструмент под названием «fsck.winregfs», который выполняет базовую проверку целостности куста реестра.

Установка в Kali Linux

sudo apt install winregfs

Установка в BlackArch

sudo pacman -S winregfs

Чтобы использовать winregfs, создайте каталог для монтирования и укажите его на интересующий куст реестра:

mkdir /tmp/reg mount.winregfs /mnt/disk_d/Share/config/SOFTWARE /tmp/reg

Теперь вы можете увидеть всё, что есть в этом улье, в директории “/tmp/reg“:

ls /tmp/reg

Допустим, вы хотите увидеть программы, которые автоматически запускаются при включении компьютера.

ls -l /tmp/reg/Microsoft/Windows/CurrentVersion/Run

Вы хотите увидеть, что содержат эти значения.

for X in /tmp/reg/Microsoft/Windows/CurrentVersion/Run/*; do echo -en "$X\n "; cat "$X"; echo; done

libregf

Программа libregf аналогична winregfs, то есть она монтирует реестр Windows в файловую систему. Благодаря этому по иерархии ключей можно переходить как по обычным папкам, а значения можно редактировать как обычные текстовые файлы.

Установка в Kali Linux

sudo apt install libregf-utils

Установка в BlackArch

sudo pacman -S git autoconf automake libtool pkg-config git clone https://github.com/libyal/libregf cd libregf/ ./synclibs.sh ./autogen.sh ./configure make sudo make install

Для монтирования файла REGF (куст реестра Windows) /mnt/disk_d/Share/config/SOFTWARE в директорию /tmp/reg:

mkdir /tmp/reg regfmount /mnt/disk_d/Share/config/SOFTWARE /tmp/reg

Эта команда откроет каталоги и файлы, содержащие элементы, содержащиеся в файле REGF.

Теперь вы можете увидеть всё, что есть в этом улье, в директории “/tmp/reg“:

ls /tmp/reg

Допустим, вы хотите увидеть программы, которые автоматически запускаются при включении компьютера.

ls -l '/tmp/reg/Microsoft/Windows/CurrentVersion/Run/(values)/'

Вы хотите увидеть, что содержат эти значения.

for X in '/tmp/reg/Microsoft/Windows/CurrentVersion/Run/(values)/'*; do echo -en "$X\n "; cat "$X"; echo; done

Əl əyləcinin iş prinsipi.

Если вам понравилось бесплатно смотреть видео əl əyləcinin iş prinsipi. онлайн которое загрузил MURAD USTA 16 мая 2022 длительностью 00 ч 03 мин 08 сек в хорошем качестве, то расскажите об этом видео своим друзьям, ведь его посмотрели 792 раза.

Tube BakU

5 месяцев назад

Usta senin videolarindan mariflendirici olarag tik tokda paylawacam

Aqsin Agayev

9 месяцев назад

Salam zəhəmt olmasa ferodo haqqinda

Yunis Bedelov

10 месяцев назад

Çox Əla izah edirsiniz mən hər zaman ingilis dilinildə baxırdım belə tipli videolara amma axırki azərbaycan dilində tapdım və sizin izah etməyiniz çoox gözəldi anlaşıqlıdı çox Sağolun Allah razı olsun İnşAllah kanalınız tez bir zamanda 1k+ olar��

Yunis Bedelov

10 месяцев назад

Natiq Məmmədov

10 месяцев назад

Nissan Maxima

10 месяцев назад

çox sağol usta mariflandirdiyiva gora

birgünherşeyçokguzelolucak

10 месяцев назад

Çox mukemmel izah terziniz var. İşinizi böyüdüb daha derin mövzulara toxuna bilersiz.
Muherrik hisseleri.
Marka modeller.
Testler.
Karopkalar haqqında.
Esp Abs ve diger sensorlar.
Ustunlukler menfi cehetler.
Ve s.
Uğurlar!

Nurlan Azimov

10 месяцев назад

Butun videolar gozeldir və sevilir mènim fikrime gore bir sonraki video

Dərs vəsaiti Bakı 2014

Kompüter 2-lik say sistemində təsvir edilən rəqəmlərlə işləyir. Bu da, 10-luq say sistemi kimi, mövqeli say sistemidir. Tam ədədi 10-luqdan 2-liyə keçirmək üçün ardıcıl bölmədən, kəsr ədədi 10-luqdan 2-liyə çevirmək üçün isə ardıcıl vurmadan istifadə edilir. 2-lik ədəd sağdan-sola üç-üç qruplaşdırıldıqda 8-lik say sisteminin ədədləri alınır. 2-lik rəqəm yaddaşda 1 bit yer tutur. 8 mərtəbəli 2-lik ədəd 1 bayt yaddaş tutur. 1024 bayt 1 kilobayt, 1024 kilobayt 1 meqabayt, 1024 meqabayt 1 qiqabayt, 1024 qiqabayt 1 terabayt təşkil edir və s.

İnformasiya kompüter yaddaşında rəqəm formasında saxlanır. Yəni, rəqəm olmayan informasiya 81 da rəqəmə çevrilir. Buna kodlaşdırma deyilir.

81 mətn, şəkil, səs və s.
Müasir fərdi kompüterlərdə operativ yaddaşın həcmi yüzlərlə meqabayt təşkil edir.

Kompüterdə ədədi, mətni və məntiqi verilənlər fərqləndirilir. Mətni verilənlər dedikdə, simvolların xətti ardıcıllığı nəzərdə tutulur. Simvollar nömrələnir (kodlaşdırılır) və simvol əvəzinə koddan istifadə edilir. Hər simvol 1 bayt yer tutur.

Hal-hazırda 128 simvolluq (0-dan 127-dək) ASCII (American Standard Code for Informational Interchange) standart kodundan istifadə edilir. Milli əlifbalar 128-255 arasında nömrələnir. Mətni düzgün oxumaq üçün mətn drayverləri vardır.

Məntiqi verilən 2 qiymət (0 və 1) alır. 0-yalan, 1- gerçək. Məntiqi verilən 1 bit yer tutur. Şəkil və səs kimi mürəkkəb obyektlər də 2-lik rəqəmlərə çevrilib saxlanır.

Proqramın kompüterdə icrası prosesi

Mərkəzi prosessor kompüterin əsas qurğusudur. Mərkəzi prosessor həm bütün hesablamaları icra edir, həm də kompüterin bütün hissələrinin işini idarə edir.

Prosessor registrləri kompüter yaddaşının ən cəld hissəsidir. Çoxsaylı registrlər müxtəlif funksiyalar icra edir.

Kompüterin işi elementar əməliyyatlar ardıcıllığından ibarətdir. Hər bir elementar əməliyyat müəyyən maşın əmrinin nəticəsidir. Maşın əmrlərinin bütövlükdə bir neçə yüz variantı vardır. Hər maşın əmrinin icrası üçün prosessorun konstruksiyasında ayrıca elektron mikrosxem nəzərdə tutulmuşdur. Maşın əmrləri əməl tipləri üzrə təsnifləşdirilir. Əməl tipləri üzrə icra edilən maşın əmrləri aşağıdakılardır:

―informasiya blokunu operativ yaddaşdan prosessor registrinə keçırır‖

―informasiya blokunu prosessor registrindən operativ yaddaşa keçırır‖

―informasiya blokunu portdan alıb prosessor registrinə ötürür‖ və s.
Prosessor əməllərin bir çoxunu paralel icra edir. Bunun üçün impuls taktları generatoru vardır. Bu, əməli kvantlarla icra edir.

Həm verilən, həm də proqram ünvanlaşdırılmış yaddaşda saxlanır. Kompüter əmr deşifratorunun köməyi ilə proqram mətnini veriləndən ayırır. Maşın əmrlərinin bitkin çoxluğu maşın dilini yaradır. Maşın əmrinin icrası 3 addımdan ibarətdir: əmrin seçilməsi, icrası və növbəti əmrin ünvanının hesablanması. Bunun üçün prosessorda 2 registr – ünvan və əmr registri vardır. Ünvan registri əmr baytının nömrəsini, əmr registri isə əmrin məzmununu təyin edir.

Kompüterin aparat həlli

1. Kompüterin sistem bloku.Stolüstü kompüterin bütün əsas komponentləri 82
1. Prosessorun,sistemşinivəperiferyaqurğularışininintezliyi. Kompüterin müxtəlif komponentlərinin sürəti bir-birindən kəskin fərqlənir. Bu qurğuları bir-birinə uyğunlaşdırmaq üçün sistem platasında xüsusi mikrosxemlər (çipsetlər) quraşdırılmışdır. Çipsetlərdə ―şimal körpüləri‖ deyilən operativ yaddaş kontrollerləri və ―cənub körpüləri‖ adlanan periferiya qurğularının kontrollerləri yerləşir. ―Şimal körpüsü‖ sistem şini vasitə- silə prosessorla operativ yaddaş arasında informasiya mübadiləsi yaratmağa imkan verir. Prosessorda daxili tezlik hasilinidən (vurulmasından) istifadə edildiyindən, prosessorun tezliyi sistem şininin tezliyindən bir neçə dəfə artıq olur. Müasir kompüterlərdə prosessorun tezliyi sistem şininin tezliyindən 10 dəfə çoxdur. Məsələn, prosessorun tezliyi
1. Xarici (uzunmüddətli) yaddaş.Kompüterin xarici yaddaş qurğusunun əsas vəzifəsi böyük həcmli informasiyanı (proqramları, sənədləri, audio-video klipləri və s.)
1. İnformasiyanın yazılıb oxunmasının maqnit prinsipi.Çevik və sərt maqnit disklərindəki (vinçesterdəki) yığıcılar ferromaqnitə əsaslanır. Lazımi şəraitdə bu disklər informasiyanı 10 illər boyu saxlaya bilir.
   1. Çevik maqnit diskləri.Bunlar plastik kütlədən hazırlanmış korpus daxilində quraşdırılmış fırlanan maqnit diskləri idi, informasiyanı bir kompüterdən digərinə köçürmək üçün istifadə edilirdi.
   2. Sərt maqnit diskləri (vinçester).Vincester dəmir korpus daxilində bir ox üzərində yerləşdirilmiş böyük sürətlə fırlana bilən çoxsaylı maqnit diskləri paketidir. Vinçesterin tutumu 150 Qbayta çatır. Yazıb oxuma sürəti saniyədə 133 Mbayt təşkil edir. Fırlanma sürəti dəqiqədə 7200 dövrdür.
   1. İnformasiyanın yazılıb oxunmasının optik prinsipi.CD–ROM və DVD–ROM kimi lazer diskovodları optik prinsiplə işləyir. CD–ROM 650 Mbayt informasiya tutumuna malikdir. Saniyədə 150 Kbayt informasiya oxuya bilir. 52 sürətliCD–ROM-lar adi CD– ROM-lardan 52 dəfə sürətlə (saniyədə 7,8 Mbayt) oxuyur. DVD–ROM 17 Qbayt həcmə malikdir.
   2. Flash-yaddaş.Bu enerjidən asılı olmayan yaddaş növüdür. İnformasiyanı mikrosxemə yazır.

   Related posts:

   1. Azrbaycan tarixi 8-ci sinif drslik
   2. 2014-2018 dövlt proqrami
   3. Bdu haqqında kitab
   4. Magistr jurnalının 3 cü sayı