Даже самые незначительные изменения настроек в Windows, не говоря уже об установке или удалении программ сопровождаются соответствующим изменениями в системном реестре. Обычно пользователям нет до них никакого дела, но иногда может возникнуть необходимость их отследить, скажем, для сравнения или ручной отмены какого-нибудь изменения, внесенного скриптом или приложением.
Как отследить изменения в реестре Windows
Если предполагаемые изменения невелики, отследить их можно средствами самой операционной системы. Откройте редактор реестра, выделите в нем ветвь, в которую предположительно будут внесены изменения и экспортируйте ее в REG-файл с именем 1.
Внесите необходимые изменения и повторно экспортируйте ветку в REG-файл, но уже с именем 2.
Допустим, вы сохранили оба файла в корень диска D. Сравним их. Откройте командную строку и выполните в ней две такие команды:
fc D:/1.reg D:/2.reg > D:/compare.log
Первая устанавливает кириллическую кодировку, вторая сохраняет результат сравнения в лог.
Способ рабочий, но неудобный, так как содержимое файлов реестра сравнивается и выводится посимвольно в столбик, что создает трудности при чтении такого лога. По этой причине подходит способ для отслеживания очень незначительных изменений, двух-трех параметров, не более. В остальных случаях лучше воспользоваться специальными утилитами.
Regshot
Наиболее известной программой для отслеживания изменений в реестре является Regshot. Запускаем утилиту, жмем кнопку «1й снимок», производим настройки, установку ПО и т.д., после чего жмем кнопку «2й снимок», а затем «Сравнить».
Результаты будут выведены в обычном текстовом или HTML-файле (по выбору сравнивающего).
Программа показывает какие разделы и параметры были созданы и удалены, какие изменены и общее количество изменений. К сожалению, Regshot не позволяет сканировать определенные разделы и ключи, из-за чего в файл отчета записываются изменения, сделанные самой Windows.
Registry Live Watch
Несколько иной подход к отслеживанию изменений в реестре предлагает другая бесплатная утилита Registry Live Watch. В отличие от Regshot, она не сравнивает два снимка реестра, а отслеживает изменения в его разделах в режиме реального времени, выводя данные в специальном текстовом поле своего окна. Кроме того, Registry Live Watch позволяет отслеживать изменения, произведенные конкретным исполняемым файлом.
Но и у этой программы есть свой недостаток. Она не может мониторить весь реестр и даже его разделы, а только отдельные ключи.
CRegistry Comparison
Нечто похожее на Regshot представляет собой бесплатная программка CRegistry Comparison. После запуска она предлагает выбрать каталог для сохранения исходного снимка, после чего тут же создает и сохраняет его.
Как сделать снимки реестра Windows для сравнения и отслеживания изменений?
Отследить изменения реестра можно разными способами, в ручную или с помощью специальных программ. В данной статье я расскажу как это сделать с помощью программ, что на мой взгляд намного удобнее.
Как я и обещал, в статье « », этой публикацией мы начинаем цикл статей посвященных анализу вредоносных программ. В этих статьях буду рассказывать об инструментах, которые позволяют исследовать вирусы и их поведение.
Сегодняшняя статья будет полезна не только исследователям вирусов, но и просто обычным пользователям, которые хотят стать более продвинутыми в использовании компьютера. Я расскажу как с помощью программы Regshot делать снимки реестра Windows для сравнения и отслеживания изменений.
Что такое реестр Windows?
Реестр — это одна из основных частей операционной системы Microsoft Windows. Несмотря на это, большинство пользователей используют операционную систему и не подозревают о существования реестра.
Неопытный пользователь даже не догадывается, что при изменении всех параметров: установки программ, изменения самой Windows и подключаемых к ней устройств все изменения вносятся в реестр Windows.
Одним словом реестр — это в каком-то смысле ядро операционной системы, в которой сохраняются все настройки и изменения.
Зачем анализировать реестр и отслеживать изменения?
Допустим вы уже не просто пассивный пользователь компьютера-чайник и хотите узнать что там происходит за кулисами во время установки новой программы или на анализировать поведение вируса. Для того чтобы узнать какие изменения делает весь софт, и нужны программы для отслеживания реестра. Одним из таких инструментов является программа RegShot.
Снимок реестра с помощью RegShot
RegShot — небольшая бесплатная с открытым исходным кодом программа, которая позволяет делать снимки реестра и сравнить их. Все изменения, которые произошли в реестре можно сохранить в текстовом файле или файле html.
Скачать RegShot
Скачать программу RegShot бесплатно вы можете по прямой ссылке.
Установка RegShot
После того как программа скачалась, разархивируйте архив и перейдите в папку с файлами. В папке будет несколько файлов.
Выбирая исполняемый файл обратите внимание на разрядность вашей операционной системы.
Настройка и использование RegShot
После запуска появится небольшое окно программы, в котором сразу меняем язык шкурки на Русский. Есть также и Украинский язык интерфейса.
Теперь приступим к работе. Отслеживание изменений реестра начинается со снятия первого снимка реестра. Нажимаем на кнопку снимок и в выпадающем окне видим 3 опции:
- Снимок — Только снимок
- Снимок + Сохранить — Снимок и бекап реестра
- Открыть — Открыть уже сделанный снимок реестра
Выбираем необходимый вариант. В моем случае для примера нет необходимости делать бекап реестра, поэтому я нажимаю на кнопку «Снимок». Программа оживится и начнет создавать первый снимок реестра. Внизу окна вы увидите как меняются цифорки.
Когда цифры остановятся, и программа успокоится, можно приступать к работе со стороними программами, установка и все такое.
После окончания нажимаем на кнопку «Второй снимок» и через несколько секунд можно нажимать на кнопку «Сравнить».
Если в начале было отмечено галочкой поле «Текст», то вы увидите окно текстового редактора Notepad, в котором будет полный отчет изменений реестра.
Я не устанавливал никаких программ, а только изменил несколько параметров в панели управления Windows. Как вы видите утилита Regshot зафиксировала все изменения.
Во время установки софта отчет будет конечно побольше.
Если нужно сделать повторный анализ реестра, то жмем на кнопку «Очистить» и начинаем по новой.
Как вы видите сделать снимок реестра для отслеживания изменений очень просто, особенно когда под рукой правильная программа. Это очень удобно если вам необходимо узнать, какие изменения в реестр вносит программа во время инсталляции. Кстати данным способом можно узнать какие элементы реестра отвечают за ту или иную настройку Windows.
Используя ОС Windows не плохо было бы узнать ее получше. Можно начать со статьи про мистический файл , о котором вы просто обязаны знать!
На этом все, друзья. В будущем будем изучать и другие инструменты. И да, я не забыл про то, что обещал сделать подробную инструкцию о том, как сделать надежную изолированную лабораторию на виртуальной машине для проверки софта и вирусов. Так что милости просим в наши паблики
Пользователи персональных компьютеров иногда интересуются, как зайти в реестр Windows 10. Обычно он используется для резервного копирования базы данных, создания и открытия новых файлов REG, а также многих других операций. Windows 10 как новейшая операционная система содержит реестр в качестве одного из своих ключевых компонентов. Эта иерархическая база данных содержит настройки ОС, параметры приложений, сведения о драйверах устройств и паролях различных пользователей, а также другую важную системную информацию.
Когда новая программа установлена, какая-то ее часть сохраняется в файле реестра RegEdit.exe.
Чтобы создать и редактировать файл, который должен войти в реестр Виндовс 10, потребуются некоторые навыки. Перед внесением любых изменений важно создать резервную копию всей базы данных. Благодаря этому вы сможете импортировать исходные настройки из файла, если что-то пойдет не так.
Как создать новый файл
Если вас интересует, как открыть реестр в Windows 10, нужно ввести regedit в строке поиска. Затем следует нажать правой кнопкой мыши на результате поиска и выбрать из выпадающего меню «Открыть как администратор». В качестве альтернативы можно нажать комбинацию кнопок Windows + R, в результате чего откроется диалоговое окно «Выполнить». В этом поле можно ввести regedit и нажать OK. Необходимо выбрать «Файл» и «Экспорт», затем ввести имя и сохранить его. Вы можете сохранить всю базу данных или выбрать определенный диапазон. Экспортированные файлы реестра автоматически получают расширение REG по умолчанию.
Файл реестра - это простой текстовый документ с расширением REG, который можно посмотреть через приложение «Блокнот». Если он настроен правильно, то можно просто нажать на него и внести изменения в реестр Windows. Для создания нового файла можно открыть блокнот и ввести необходимый синтаксис. Нужно сохранить текстовый документ на своем компьютере, затем нажать на нем правой кнопкой мыши и изменить расширение на REG. После этого, если 2 раза нажать на файл, он внесет изменения в реестр. К примеру, такой документ может позволить вам выполнить автоматический запуск службы DNS. Чтобы вручную запустить службу, нужно изменить значение данных на 00000003.
Чтобы отключить ее, изменить значение на 00000004.
Как внести изменения
Пользователи, которые интересуются, как открыть реестр Windows 10, должны знать, что редакторы позволяют внести изменения в текущие файлы. В качестве примера можно изменить домашнюю страницу своего браузера. Это может быть полезно, если вредоносная программа получила контроль над обозревателем, что затрудняет посещение желаемого веб-сайта. Сначала вызываем редактор, набрав regedit в панели поиска или применив комбинацию Windows + R.
Нажать на символ «+» рядом с надписью HKEY_CURRENT_USER и выбрать Software Microsoft Internet Explorer. Затем щелкнуть правой кнопкой мыши на Main и выбрать Export, чтобы сохранить файл на компьютере вошедшего пользователя. После этого останется только нажать правой кнопкой мыши на файле, выбрать «Открыть с помощью» и «Блокнот».
Верхняя строка «Редактирование реестра Windows 10» сообщает операционной системе, что этот документ является файлом RegEdit. Следующая строка - это данные конфигурации, которые сообщают системе, что нужно добавить и изменить в реестре. Чтобы изменить домашнюю страницу на конкретный веб-сайт (например, Microsoft), нужно осуществить вход в:
- HKEY_CURRENT_USER.
- Software.
- Microsoft.
- Internet Explorer.
- Main.
Затем установить флажок в правой части окна и 2 раза нажать на Start Page. В разделе Value Data ввести адрес веб-сайта и нажать OK. Если после внесения изменений что-то пойдет не так, нужно 2 раза нажать на экспортированном файле, чтобы сбросить его до исходных настроек.
Когда вы удаляете программу, есть вероятность, что некоторые параметры не будут стерты.
Чтобы полностью удалить программу, вам необходимо убрать ее запись из реестра. Для этого нужно вызвать редактор и нажать на значок «+» рядом с HKEY_LOCAL_MACHINE. Затем нажать на Software и определить программу, которую необходимо стереть. Для этого следует нажать правой кнопкой мыши на нужной записи и выбрать «Удалить».
В этой статье показаны действия, с помощью которых вы сможете стать владельцем раздела реестра и получить права полного доступа, а также как вернуть исходные права и восстановить исходного владельца.
Некоторые разделы системного реестра Windows не доступны для редактирования, даже если ваша учётная запись относится к группе «Администраторы»
. Это обычно происходит из-за того что у группы «Администраторы»
нет соответствующих разрешений (прав) на запись в этот раздел реестра. Есть несколько причин, почему вы не можете редактировать раздел реестра:
■ Группа «Администраторы»
является владельцем раздела, но не имеет полных прав на него. В этом случае достаточно просто выдать группе «Администраторы»
полные права.
■ Владельцем раздела является системная служба TrustedInstaller
. В этом случае нужно сначала стать владельцем раздела, а затем выдать своей группе полные права, как раз в этой статье и будет рассмотрен такой пример.
■ Владельцем раздела является системная учетная запись «Система» TrustedInstaller .
Далее в статье будет описано, как внести изменения в реестр при отсутствии соответствующих разрешений, а также как восстановить исходные разрешения, и для чего это нужно делать. Перед тем как редактировать системный реестр, рекомендуется
При изменении какого-либо параметра в реестре, если у вас недостаточно прав, то вы получите сообщение об ошибке.
Рассмотрим первый пример
, когда группа «Администраторы»
является владельцем раздела, но не имеет полных прав на него:
1
Разрешения...
2
. Выделите группу «Администраторы»
:
Если доступен флажок Полный доступ , установите его и нажмите кнопку ОК . Этого может оказаться достаточно, если группа является владельцем раздела.
Если флажок недоступен или вы видите сообщение об ошибке как на скриншоте ниже, то переходим к второму примеру.
В окне Разрешения для группы нажмите кнопку Дополнительно
В следующем окне нажмите ссылку Изменить введите имя локальной учетной записи или адрес электронной почты учетной записи Microsoft, проверьте имя и нажмите кнопку ОК
Установите флажок Заменить владельца подконтейнеров и объектов вверху окна и нажмите кнопку ОК
Выделите группу «Администраторы» , установите флажок Полный доступ , нажмите кнопку OK
Теперь у вас есть полный доступ к разделу реестра и вы можете редактировать все его параметры.
Третий пример , когда владельцем раздела является системная учетная запись «Система» . В этом случае действия будут такими же, как и с TrustedInstaller .
Возвращение исходных прав и восстановление владельца
В целях безопасности системы, после редактирования необходимых параметров раздела реестра, нужно возвратить исходные права доступа и восстановить в качестве владельца раздела системную учётную запись TrustedInstaller
.
1
. Щелкните правой кнопкой мыши на разделе реестра и выберите из меню пункт Разрешения...
2 . В окне Разрешения для группы нажмите кнопку Дополнительно
Нажмите кнопку OK
5 . В окне Разрешения для группы выделите группу «Администраторы» , снимите флажок Полный доступ , нажмите кнопку OK
Исходные права и владелец раздела реестра восстановлены.
■ Если владельцем раздела являлась учетная запись Система
(в английской варианте System
), то вместо
NT Service\TrustedInstaller
введите Система
(в английской варианте System
).
Загрузка...
