Сравнение реестра windows. Анализ программных средств для работы с реестром. Использование программы Process Monitor
Программа Advanced Registry Tracer (сокращенно - ART, раньше программа называлась RegFix) предназначена для анализа изменений в системном реестре Windows путем сравнения двух копий реестра в разное время. Создаются и сравниваются копии реестра, хранящиеся в своем собственном формате, поэтому называть их именно копиями, на мой взгляд, не совсем корректно, и далее я буду называть их "слепками" реестра. ART показывает все новые, удаленные или измененные ключи, также можно создавать REG-файлы для отката или повторения аналогичных обнаруженным изменений реестра.Программа не поддерживает операции по сравнению разных версий файлов и не производит поиск новых и изменившихся файлов. Для этих целей вы можете использовать файловые мониторы, например, Adinf, KAV Inspector и другие.
Краткие возможности программы
Сканирование реестра в файл с возможностью просмотра и поиска.
Сканирование реестра на удаленном компьютере.
Сравнение различных слепков реестра.
Сравнение отдельных ветвей различных слепков реестра.
Функции отмены и повтора внесенных изменений.
Сохранение любого ключа реестра в REG-файл
Использование закладок.
Открытие выбранных ключей в редакторе реестра RegEdit.
Поддержка параметров командной строки.
Добавление комментариев к каждому слепку реестра.
Сканирование реестра
Прежде всего, необходимо создать первоначальный слепок реестра. Когда вы запускаете ART в первый раз, программа сканирует реестр, создает первоначальный слепок реестра и автоматически записывает его под именем ART_DB.rgf.
Для самостоятельного создания слепка реестра вы можете воспользоваться пунктом New меню File и просканировать состояние реестра в данный момент выбором пункта Scan меню Registry или нажав на кнопку Scan Registry (Сканировать реестр) на панели инструментов. Еще одной возможностью создания нового слепка реестра является его экспорт из REG-файла. Результат сканирования также может быть загружен при открытии сохраненного слепка реестра.
Каждый новый слепок реестра сохраняется в файл автоматически. Одновременно в памяти могут находиться два слепка реестра, называемых активными. Они обозначены желтым цветом, в противовес неактивным, обозначенным белым. Для неактивных слепков доступен единственный пункт контекстного меню с возможностью добавления комментария. Если вы хотите просмотреть, сравнить или осуществить поиск в сохраненном слепке реестра, для этого вам необходимо его открыть, т.е. загрузить в память. Если в память уже загружены два слепка реестра, то при попытке открыть еще один слепок, или создать при сканировании новый, программа, согласно заданным установкам, закрывает один из открытых слепков, или предлагает пользователю самому сделать выбор или отменить операцию.
В зависимости от размера реестра и мощности компьютера, процедура сканирования может занимать от нескольких секунд до минуты (на 486-ых компьютерах). Продолжительность сканирования реестра (в секундах) отображается в статусной строке после сканирования.
Сравнение различных состояний реестра
ART позволяет сравнивать следующие объекты :
два целых слепка реестра (за исключением ветви HKEY_DYN_DATA);
две одинаковых ветви реестра из различных слепков;
две различных ветви реестра из одного и того же или разных слепков реестра;
различные ветви из существующих слепков реестра, и эти же ветви в реестре на данный момент.
В отличие от программ мониторинга реестра типа RegMon или Win-Expose Registry, а также деинсталляторов типа CleenSweep, ART сравнивает именно слепки реестра, а не следит за ключами, к которым обращаются программы. Таким образом, ART выявляет все изменения в реестре (кроме ветви HKEY_DYN_DATA) и к тому же не занимает системных ресурсов.
ART хранит все слепки реестра в одной базе данных, в которой может находиться до 100 слепков реестра, сделанных в разное время (разработчики тестировали программу с 50-ю слепками). База данных имеет расширение ".RDF", что означает аббревиатуру Registry Database File (Файл базы данных реестра). В ней могут выполняться такие операции, как поиск и сравнение.
ART ищет изменения в реестре на всех уровнях: в названиях ключей, названиях строковых или двоичных данных и в самих данных. Результат сравнения показывается в виде трех деревьев - по одному для новых, удаленных и измененных данных.
Добавленные и удаленные данные показываются аналогично редактору реестра, измененные данные показаны в виде дублированного списка со старыми и новыми значениями.
Все изменения в структуре реестра, а также изменения в комментариях к ним автоматически сохраняются в базе данных, поэтому в меню File нет пункта Save (Сохранить). При автоматическом сохранении слепок получает имя, состоящее из даты и времени сохранения.
Базируясь на результатах сравнения при помощи ART можно создавать файлы отката (Undo) и повторного выполнения сделанных изменений (Redo) в формате REG. Эти файлы могут быть использованы для изменения значений реестра и перехода от новых версий реестра к более ранним версиям, и наоборот.
ART проверяет только ветви реестра HKEY_LOCAL_MACHINE и HKEY_USERS, так как:
ветвь HKEY_CURRENT_CONFIG является копией ветви HKEY_LOCAL_MACHINE\Config\000x,
HKEY_CLASSES_ROOT - копия ветви HKEY_LOCAL_MACHINE\Software\Classes,
HKEY_CURRENT_USER - часть HKEY_USERS,
а ветвь HKEY_DYN_DATA обычно используется только системой, что, по мнению автора программы, не должно быть интересно пользователю.
Интерфейс программы
Меню File (Файл) для работы с файлами базы данных и экспортом/импортом REG-файлов.
New - создание нового файла базы данных со слепками реестра.
Open - открыть существующую базу данных со слепками реестра.
Reopen - открыть ранее открывавшуюся базу данных, при этом в этом пункте доступен список из ранее открывавшихся баз данных.
Save As - сохранение базы данных в другом файле. По умолчанию файл с базой данных находится в папке с программой и называется ART_DB.rgf.
Close - закрыть файл с базой данных.
Export to REG file - экспорт выбранной части реестра в REG-файл.
Import from REG file - импорт значений REG-файла в слепок реестра.
Exit - выход из программы.
Меню Edit (Редактировать) для редактирования REG-файлов и реестра.
Edit REG file - открыть в установленном редакторе REG-файл. По умолчанию редактором для REG-файлов является Блокнот, его можно поменять в настройках.
Jump to Regedit
Меню Tree (Дерево) для навигации в древовидной структуре слепков реестра.
Expand - раскрыть ветви дерева реестра, находящиеся в данном ключе.
Collapse - закрыть ветви дерева реестра в данном ключе.
Collapse all
Goto the same key - перейти к такому же ключу в другом слепке реестре.
Switching mode - настройка режима переключения при выборе перехода к другому ключу: переход осуществляется между двумя активными или двумя выбранными пользователем слепками реестра.
Меню Registry (Реестр) для работы с реестром.
Scan Registry - создание слепка реестра путем его сканирования.
Scan Remote Registry - создание слепка путем сканирования реестра на удаленном компьютере.
Find - поиск в слепке реестра заданного значения.
Compare From Here - сравнить два слепка реестра начиная с указанного места.
Compare 2 chosen keys - сравнение двух выбранных ключей.
- сравнение слепка реестра с содержимым реестра на данный момент.
Bookmarks - вызов закладок. Этот пункт меню в зависимости от установок программы может меняться на пункт Exclude From Comparison (Исключить из сравнения). Для исключения из сравнения отдельных отдельных ключей в программе существует список исключений, который также может выполнять роль списка закладок, в зависимости от установок программы.
Expand Marked Keys - раскрытие всех помеченных ключей.
UnMark All Subkeys - снятие пометок со всех ключей, размещенных в заданном ключе.
При нажатии правой кнопки мыши доступно контекстное меню.
Copy Path - копировать путь к выбранному ключу в буфер обмена.
Properties - просмотр свойств выбранного ключа.
Compare here - начать сравнение двух слепков реестра с выбранного ключа.
Compare 2 chosen keys - сравнить два выбранных ключа.
Compare with current registry - сравнить два активных слепка реестра.
Mark key (check) - пометить выбранный ключ.
UnMark All Subkeys - снять пометку со всех вложенных ключей в данном ключе.
Jump to Regedit - открыть выбранный ключ в редакторе реестра Regedit.
UpOneLevel - перейти на один уровень вверх по дереву реестра.
Expand - раскрыть все ветви дерева реестра, находящиеся в данном ключе.
Collapse - закрыть все ветви дерева реестра в данном ключе.
Goto the same key - перейти к такому же ключу в другом реестре.
Контекстное меню для корня реестра немного отличается. Помимо того, что в нем не активна примерно половина пунктов меню и отсутствует Copy Path, наличествует 2 новых пункта:
Delete - удалить данный слепок реестра.
Comment - добавить/редактировать к данному слепку реестра комментарий длиной до 2000 символов. По умолчанию все слепки реестра уже имеют комментарий с именем компьютера.
Как мы видим, в контекстные меню вошли наиболее часто используемые пункты различных меню программы.
Полезной возможностью ART является экспорт выбранной части реестра, начиная с одного ключа и заканчивая целой ветвью. Впоследствии вы можете использовать полученный REG-файл для изменения системного реестра, в том числе и на других компьютерах. Вы можете просмотреть этот файл в указанном вами в свойствах программы текстовом редакторе (по умолчанию им является Блокнот) нажав на кнопку Edit REG file (Редактировать REG-файл) на панели инструментов, или выбрав тот же пункт в меню Edit (Редактировать).
Параметры командной строки
ART поддерживает работу из командной строки. На данный момент из командной строки возможно только сканирование реестра.art/<команда>
Команды :
s - Сканирование реестра. RGF-файл может быть как новым файлом, так и уже содержащим слепки реестра.
Ключи :
-o - перезаписать RGF-файл, если он существует
-а - добавить запись в конец RGF-файла, если он существует
-b - если RGF-файл существует, замещать его, оставляя копию в BAK-файле
-m - сканировать реестр на удаленном компьютере с названием "remote machine".
-l - если при выполнении операции возникнет ошибка, то она сохраняется в файле отчета
Особенности работы под под Windows 2000/NT/XP
При работе под Windows 2000/NT/XP некоторые ключи изначально (по умолчанию) недоступны для чтения или изменения даже с привилегией администратора. Для изменения прав доступа для отдельных ключей реестра используйте Regedt32 (у вас должны быть соответствующие полномочия). С недоступными для изменения ключами функции Undo/Redo не работают. При невозможности прочитать значения ключей ART выдает соответствующие сообщения.
В таких случаях удобно использовать файл отчета, в который будут записываться все подобные сообщения (вместо того, чтобы выдаваться на экран), т.к. их может быть довольно много.
Для примера приведу подобный файл отчета: ссылка
Что нового в версии 1.60
Основным изменением является возможность импорта REG-файла в слепок реестра, при этом поддерживается импорт форматов как regedit 4, так и regedit 5 (Windows 2000).Остальные изменения :
Выбор формата экспорта в REG файл (regedit 4, так и regedit 5).
Значительно улучшилась читабельность и функциональность созданных при помощи функций Undo/Redo REG-файлов.
За счет использования недокументированных возможностей формата REG-файлов исключена генерация INF-файлов.
Теперь возможно сканирование не только всего реестра, но и любой его части.
В пункте меню Find добавлено открытие ключа по пути (Find Path).
Поддержка стилей XP.
Небольшие изменения в дизайне, улучшены удобства интерфейса некоторых окон.
Исправленные ошибки :
Сканирование в режиме командной строки вызывало ошибку.
После закрытия слепков реестра оставался видимым один корень слепка реестра.
В списке исключений при добавлении пути некорректно определялась подстрока.
Белая иконка главного слепка реестра (если он один), а также невозможность его открытия.
В очень редких случаях после сканирования возникал пустой экран.
Заключение
Программа может быть полезна для создания слепков системного реестра перед и после установки различного программного обеспечения для сравнения и анализа внесенных в реестр изменений. Вы также можете смотреть, какие изменения в системный реестр вносит установка новых аппаратных компонентов. Более того, программа ART может быть использована для сравнения конфигураций различных компьютеров. Вы также можете использовать программу для поиска ключа в реестре, отвечающего за различные системные настройки - сравнивая слепки реестра до и после внесенных изменений. Программу полезно использовать для обнаружения запуска "троянов" и шпионских компонентов, а также для решения различных проблем, связанных с установкой аппаратного и программного обеспечения.Программа работает под Windows 95/98/Me/NT/2000/XP и распространяется по принципам Shareware. Стоимость однопользовательской лицензии - 40$.
Advanced Registry Tracer 1.60 (размер 990Kb): линк
Как создать снимок реестра?
Создание и сравнение снимков реестра можно реализовать разными способами. Вы можете использовать утилиту или новую программу RegistryChangesView, о которой я вам подробно расскажу в этой инструкции.
Снимок реестра с RegistryChangesView
Это небольшая бесплатная программа от известного израильского программиста Nir Sofer. У нас на сайте представлено большое количество инструкций к его программам (одна из них ).
Утилита предназначена для создания и сравнения снимков реестра. Она может пригодиться при необходимости проследить изменения во время установки нового софта или для анализа вредоносных программ.
Скачать RegistryChangesView
Скачать RegistryChangesView вы можете бесплатно с сайта разработчика. На данный момент интерфейс программы на английском языке, но как и все другие утилиты NirSoft она вскоре будет переведена на Русский язык, и будет доступна для скачивания с официального сайта.
Существуют версии как для , так и для бит. Узнать разрядность вашего компьютера вы можете в панели управления.
Если не получилось выяснить разрядность, то просто попробуйте запустить оба файла. Один из них должен сработать.
Установка RegistryChangesView
Это портабельная утилита, для ее работы не требуется установка. Просто разархивируйте скаченный архив и запустите файл.
Запуска программы Использование RegistryChangesView
После запуска утилиты появится главное окно программы. Первым делом необходимо создать снимок реестра Windows.
Перед созданием снимка можно отметить галочкой необходимые ветки реестра. По умолчанию ветка «SAM’ и ветка «Security» не отмечены.
Снимки реестра сохраняются в папке программы. Каждый снимок в отдельной папке.
Изменения в реестре вы увидите в главном окне программы.
Изменение в реестре Правым кликом открывается контекстное меню, в котором можно редактировать, сохранять записи или просматривать ее свойства:
Свойства В целом это довольно мощный инструмент для создания и сравнения снимков реестра. К сожалению, нет возможности выполнить операцию восстановления непосредственно из Registry Changes View. Это означает, что вы должны будете использовать сам реестр, чтобы восстановить значения или использовать другие сторонние программы.
В Windows вся информация о конфигурации компьютера (профили пользователей, сведения об оборудовании системы, установленных программах и параметрах настройки) хранится в системном реестре. Поэтому от его состояния зависит то, насколько быстро и стабильно будет работать операционная система (и будет ли она работать в принципе).
Сразу после переустановки операционная система (ОС) отличается стабильным функционированием и выполняет операции достаточно быстро (хотя в некоторых случаях и может быть настроена на большее быстродействие). Со временем ситуация кардинально меняется. Постепенно реестр переполняется устаревшими данными (неверными ключами в реестре, ссылками на несуществующие файлы и отсутствующие драйверы устройств, битыми ярлыками и пр.), в нем могут появляться записи, сделанные вирусами и шпионскими модулями, часть параметров может быть испорчена в результате экспериментов с настройками ОС и пр. Все это медленно, но неуклонно приводит к ухудшению работы операционной системы вплоть до полной ее неработоспособности. Поэтому необходимо принимать определенные меры для избавления системного реестра от подобной информации. Профессионалы могут производить подобную очистку реестра в штатной программе - редакторе реестра RegEdit. Но это предполагает наличие соответствующей подготовки и требует предельной внимательности при выполнении действий (поскольку любой неверный шаг может привести к полной неработоспособности системы), поэтому обычным пользователям с правкой реестра в RegEdit лучше не экспериментировать. Однако дело не только в том, что редактирование реестра встроенными средствами Windows требует профессиональных знаний, - на эту операцию также необходимо очень много времени. А ведь это время можно потратить с гораздо большей пользой, если поручить выполнение хотя бы части реестровых операций специализированным утилитам. Причем некоторые из подобных утилит совершенно не требуют профессиональной подготовки и рассчитаны на широкий круг пользователей. Наиболее интересным решениям данного плана и посвящен настоящий обзор.
Виды программ для работы с системным реестром
Все программы для работы с системным реестром можно разбить на три большие группы. В первую входят утилиты-твикеры, предназначенные для комплексной настройки и оптимизации ОС и позволяющие очищать реестр от захламляющей его устаревшей информации. Основным их преимуществом перед другими решениями является расширенный инструментарий для работы с ОС: помимо чистки реестра, они предоставляют еще массу возможностей по управлению производительностью и безопасностью системы. Наиболее популярны среди твикеров с подобной функциональностью пакеты System Mechanic и Ace Utilities.
Вторую группу программных продуктов образуют пакеты, предназначенные для чистки и дефрагментации реестра, такие, например, как jv16 PowerTools 2006 и Registry Mechanic. Лучшие решения данной группы обеспечивают гораздо более эффективную чистку, чем твикеры (табл. 1), хотя последние и сравнимы с ними в плане разнообразия выявляемых дефектов (табл. 2). Кроме того, специализированные пакеты для чистки дополнительно могут сжимать реестр (удаляя из него пустые записи, неизбежно образующиеся при удалении ключей) и дефрагментировать реестровые файлы, записывая их на диск последовательно. И то и другое может привести к повышению скорости работы с реестром, а следовательно, и скорости работы ОС в целом. Что касается других возможностей для управления ОС, то в таких решениях они зачастую также присутствуют, но реализованы сравнительно слабо.
Таблица 1. Сравнение пакетов для чистки реестра с точки зрения количества найденных
ошибок (тестирование проводилось на одной и той же версии ОС)
И наконец, третью группу решений составляют менеджеры системного реестра. Они представляют собой удобные инструменты для комплексного управления реестром и могут рассматриваться как расширенная альтернатива стандартному редактору реестра RegEdit. В отличие от приложений из первых двух групп (интересных как профессионалам, так и обычным пользователям), менеджеры реестра ориентированы на профессионалов - в первую очередь на администраторов, нуждающихся в более эффективных инструментах для поддержания работоспособности компьютерных систем, разработчиков ПО, которым требуется управлять регистрацией в реестре создаваемых ими приложений, и продвинутых пользователей, желающих вручную вносить в реестр изменения, например, для того, чтобы удалить записи, сделанные вирусными и шпионскими программами. Наиболее интересными решениями в данной группе нам представляются Registrar Registry Manager, Registry Workshop и Advanced Registry Tracer.
Таблица 2. Сравнение широты анализа реестровых элементов на предмет выявления дефектов
jv16 Power Tools |
Registry Mechanic |
|||||
Настройки Active X - OLE COM |
||||||
Библиотеки динамической компоновки (DLL) |
||||||
Системные драйверы |
||||||
Драйверы виртуальных устройств (VxD Section) |
||||||
Расширения файлов |
||||||
Файловые ассоциации |
||||||
Программы, загружающиеся вместе с Windows |
||||||
Деинсталлированные программы |
||||||
Пути программ |
||||||
Секция Classes |
||||||
Устаревшие пункты в меню |
||||||
Устаревшие записи ПО |
||||||
Автозапускаемые программы |
||||||
Ключи в реестре |
||||||
Целостность реестра |
Утилиты-твикеры
System Mechanic 7
Разработчик : Iolo Technologies, LLC
Размер дистрибутива: 16,61 Мбайт
Работа под управлением: Windows 98/Me/2000/XP/Vista
Способ распространения: http://www.iolo.com/sm/7/std/download.aspx)
Цена: 49,95 долл.
System Mechanic - эффективный инструмент для комплексного управления ОС, позволяющий настроить более сотни системных параметров, которые определяют внешний вид интерфейса, производительность и безопасность системы. Программа может проанализировать разнообразные параметры системы и выдать детальный отчет о скорости, безопасности, наличии беспорядка (компьютерного мусора, ошибок в системном реестре и т.п.) с рекомендациями о возможной коррекции ситуации. С ее помощью несложно произвести полную очистку системы от временных файлов и файлов-дубликатов, оптимизировать настройки Windows и интернет-соединение, ускорить работу с оперативной памятью, дефрагментировать жесткий диск и т.д.
За непосредственное управление системным реестром в данной утилите отвечают модули Repair Registry Problems и Repair Broken Shortcuts. Первый поможет выполнить полную очистку реестра от устаревшей информации (неверных ключей в реестре, ссылок на несуществующие файлы и пр.), а второй избавит от битых ярлыков. Предусмотрены три режима сканирования реестра на наличие устаревших записей: Quick Optimization and Repair (Быстрая оптимизация и восстановление), Complete Optimization and Repair (Комплексная оптимизация и восстановление - рис. 1) и Custom Optimization and Repair (Пользовательская оптимизация и восстановление). В первых двух режимах сканирование производится полностью автоматически. При быстром сканировании исследуются выборочные ветви реестра (наиболее важные с точки зрения стабильности работы системы). При комплексном сканировании (которое может занимать довольно много времени) проводятся все тесты, при этом допускается определение типов данных, на которые следует обращать внимание при сканировании. В режиме Custom Optimization and Repair пользователь может не только задать типы анализируемых данных, но и выбрать, следует ли сразу исправлять найденные ошибки или выдавать отчет о них на экран и ожидать реакции пользователя. В любом режиме сканирования возможен отказ от восстановления всех или некоторых найденных проблем.
Рис. 1. Полное сканирование реестра
программой
System Mechanic
Ace Utilities 3.2
Разработчик : AceLogiX
Размер дистрибутива: 2,24 Мбайт
Работа под управлением: Windows 98/Me/2000/XP/2003/Vista
Способ распространения: shareware (30-дневная демо-версия - http://www.acelogix.com/download.html)
Цена: 29,95 долл.
Ace Utilities - популярный набор утилит, объединенных под одной оболочкой и предназначенных для обслуживания и оптимизации системы. Данные утилиты помогут деинсталлировать ненужные программы и удалить неработающие ссылки из меню «Пуск», обеспечат контроль за загружающимися вместе с Windows приложениями (ненужные из них можно будет из автозагрузки удалить) и позволят легко избавиться от мусорных файлов, пустых папок и файлов дубликатов. С их помощью несложно также очистить историю компьютерной деятельности (кэш интернет-браузера, cookies, список последних рабочих документов и историю работы более чем 200 приложений) и произвести гарантированное уничтожение ранее удаленных файлов и любых других файловых данных.
За работу с системным реестром в данной утилите отвечают модули Clean System Registry и Fix Invalid Shortcuts. Первый предназначен для очистки реестра от устаревшей информации (неверных ключей в реестре, ссылок на несуществующие файлы и пр.), а второй отвечает за выявление и удаление битых ярлыков. Сканирование может проводиться либо в стандартном (Standard) - рис. 2, либо в тщательном (Thorough) режиме. Первый ограничен просмотром лишь тех ветвей реестра, ошибки в которых наиболее критичны с точки зрения стабильности работы системы, второй обеспечивает анализ всего реестра. В обоих случаях перечень выявляемых дефектов может корректироваться пользователем. Подробный список найденных при сканировании ошибок выводится в виде отчета, в котором можно указать программе, какие из найденных проблем следует устранить. Опытным пользователям предоставляется возможность на любой ошибке переключиться в редактор реестра RegEdit и внимательно просмотреть всю ветвь реестра с ошибкой. Следует отметить, что Ace Utilities находит в системном реестре больше ошибок, чем другие твикеры (уступая лишь специально предназначенным для чистки реестра решениям), и отличается очень высокой скоростью сканирования.
Рис. 2. Быстрое сканирование реестра средствами
Ace Utilities
Утилиты для очистки и дефрагментации реестра
jv16 PowerTools 2006 (версия 1.5)
Разработчик: Macecraft, Inc.
Размер дистрибутива: 1,6 Мбайт
Работа под управлением: Windows 98/Me/NT/2000/XP/Vista
Способ распространения: shareware (30-дневная демо-версия - http://www.macecraft.com/downloads/jv16pt_setup.exe)
Цена: 29,95 долл.
jv16 PowerTools представляет собой набор утилит, который может претендовать на звание одного из лучших инструментов для управления системным реестром Windows. Программа очень проста в работе, сопровождается исчерпывающим руководством и имеет русскоязычный интерфейс. В числе ее возможностей - расширенная работа с файлами и папками (удаление мусорных файлов и пустых папок, поиск файлов, пeрeмeщение и пepeимeнoвaние групп файлов и т.д.), удаление персональных данных в соответствии с черным и белым списками, управление установленными и запущенными программами и работа с системным реестром.
За работу с реестром отвечает сразу несколько утилит. Менеджер реестра (рис. 3) позволяет деинсталлировать ненужные программы, управлять расширениями, удалять ненужные пункты из контекстных меню проводника и программы Internet Explorer и т.д. Чистильщик реестра (рис. 4) автоматически находит в реестре все виды устаревших данных и удаляет их, причем перед каждым удалением создается резервная копия данных, из которой при необходимости их можно будет восстановить. При этом сканирование может проводиться в обычном (когда анализируются определенные типы данных, наиболее критичные с точки зрения ошибок в реестре) и тщательном (обеспечивающим анализ всех данных) режимах. При желании список анализируемых данных несложно скорректировать вручную. Результатом сканирования является подробный отчет обо всех найденных ошибках и общем состоянии реестра. Модуль сжатия системного реестра позволяет осуществить его дефрагментацию, что приводит к уменьшению размера реестра за счет исключения пустых мест, появившихся в результате удаления из него данных. Стоит отметить, что jv16 PowerTools использует высокоэффективный алгоритм выявления ошибочных строк реестра и находит гораздо больше ошибок в реестре (за счет охвата широкого диапазона дефектов), чем другие конкурирующие продукты, причем выполняет сканирование очень быстро. В отличие от многих других решений, в данной программе подход к исправлению найденных ошибок гораздо разумнее. Например, обнаружив ссылку на несуществующий файл, она попытается выяснить, не был ли файл перемещен, и если ей удастся установить, что это действительно так, то она обновит соответствующие записи реестра, а не удалит их.
Рис. 3. Работа с менеджером реестра
в программе
jv16 PowerTools
Рис. 4. Чистка реестра с помощью jv16 PowerTools
Специальные поисковые инструменты обеспечивают удобный расширенный поиск (по нескольким словам одновременно, по дате и т.д.) и проведение замены в реестре по ключевым словам, что может потребоваться для ручной коррекции данных, например с целью удаления устаревших записей о регистрации ПО. Для всех удаляемых таким образом данных автоматически создается их резервная копия, что гарантирует восстановление тех из них, что были удалены случайно. Мониторинговый модуль обеспечивает создание мгновенных снимков текущего состояния реестра. Это позволяет в дальнейшем сравнивать его новое состояние с сохраненным в снимке (с отображением всех изменившихся данных, что актуально для контроля за приложениями, меняющими настройки без ведома пользователя) и при необходимости осуществлять откат сделанных изменений. А информационный модуль отображает информацию о размере реестра, количестве ключей, точек входа и прочих реестровых данных (рис. 5).
Рис. 5. Информация о реестре, выведенная программой
jv16 PowerTools
Имеются более дешевые упрощенные версии программы jv16 PowerTools - RegSupreme Pro (http://www.macecraft.com/downloads/RegSupremePro_setup.exe ; цена - 16,95 долл.) и RegSupreme (http://www.macecraft.com/downloads/RegSupreme_setup.exe ; цена - 12,95 долл.). Первая позволяет очищать системный реестр от устаревших данных и производить деинсталляцию ненужного ПО, а возможности второй ограничены очисткой реестра.
Registry Mechanic 6.0
Разработчик : PC Tools Software
Размер дистрибутива: 4,75 Мбайт
Работа под управлением: Windows 98/Me/2000/XP/Vista
Способ распространения: shareware (функционально ограниченная демо-версия - http://www.pctools.com/mirror/rminstall.exe)
Цена: 29,95 долл.
Пакет Registry Mechanic предназначен для очистки и оптимизации системного реестра и позволяет практически несколькими щелчками мыши исправить неправильные значения ключей, разделов и прочих параметров в реестре и тем самым повысить стабильность и быстродействие работы компьютера. Программа обладает предельно понятным и привлекательным интерфейсом, не требует сложной настройки, быстро работает и представляет собой легкий способ очистки системного реестра Windows.
Registry Mechanic может производить как быстрое сканирование (Quick Scan), при котором исключается анализ секции HKEY_CLASSES_ROOT, так и полное сканирование (Full Scan) системного реестра (рис. 6). Программа использует высокоэффективный алгоритм обнаружения ошибочных строк реестра, фиксируя широкий диапазон дефектов, список которых может корректироваться, равно как и пути сканирования. Результатом сканирования является подробный список найденных ошибок с отображением уровня их опасности, которые в соответствии с указаниями пользователя могут быть частично или полностью исправлены; предусмотрено и автоматическое исправление ошибок. При каждой очистке реестра Registry Mechanic предварительно создает его резервную копию, из которой в случае необходимости потом его можно будет восстановить. Очищенный от устаревших данных реестр может быть сжат (рис. 7), что позволяет сократить его размеры и повысить быстродействие ОС. Данные о результатах последних очистки и дефрагментации реестра автоматически отображаются программой при запуске. Помимо очистки и дефрагментации реестра, Registry Mechanic может автоматически выполнить оптимизацию ряда системных настроек Windows, благодаря чему сокращается время, затрачиваемое на запуск системы и завершение ее работы, а также увеличивается скорость при выполнении некоторых операций.
Рис. 6. Результат полного сканирования реестра программой
Registry Mechanic
Рис. 7. Сжатие реестра при помощи Registry Mechanic
Reg Organizer 4.0
Разработчик : ChemTable Software
Размер дистрибутива: 1,57 Мбайт
Работа под управлением: Windows 98/Me/NT/2000/XP/2003
Способ распространения: shareware (30-дневная демо-версия - http://www.chemtable.com/files/regon.zip , файл русификации - http://www.chemtable.com/files/russian.exe)
Цена: 39,95 долл., для российских пользователей - 399 руб.
Reg Organizer - это многофункциональный менеджер системного реестра, позволяющий не только выявлять и удалять устаревшие записи (как это делают многие конкурирующие решения), но и редактировать реестр вручную, благодаря чему он может рассматриваться как альтернатива программе RegEdit. Пакет имеет русскоязычный интерфейс, предлагается российским пользователям по весьма привлекательной цене и может быть интересен как новичкам - на них рассчитаны автоматические методы работы с реестром, - так и профессионалам, которых может заинтересовать возможность ручной корректировки реестровых параметров.
Reg Organizer позволяет редактировать и чистить реестр в автоматическом (рис. 8) и ручном (рис. 9) режимах. В автоматическом режиме программа полностью сканирует системный реестр, фиксируя ошибочные записи в соответствии с указанным пользователем списком типов дефектов, и выдает отчет обо всех найденных проблемах. Выявленные ошибочные записи можно попытаться восстановить или удалить, если восстановление оказалось невозможным. Столь же просто избавиться и от битых ярлыков. При ручной очистке несложно удалить ненужные приложения, отрегулировать список автозагрузки, удалить лишние типы расширений, отредактировать контекстные меню, изменить положение в реестре системных папок, удалить лишние библиотеки, обновить пути для запуска файлов приложений и т.д. При желании также можно найти ключи, относящиеся к интересующему приложению, и удалить их при необходимости, что полезно, например, если ненужное приложение было удалено вручную по причине отсутствия у него программы деинсталляции. После окончания очистки реестра Reg Organizer позволяет осуществить оптимизацию файлов, в которых хранится системный реестр, - это подразумевает две операции: дефрагментацию файлов системного реестра и сжатие самого системного реестра. Кроме того, в данном решении реализованы расширенные возможности явного редактирования системного реестра - рис. 10. Помимо таких базовых операций по работе с реестром (имеющихся и в RegEdit), как создание, удаление и редактирование ключей реестра и значений параметров, предусмотрены возможности экспорта/импорта определенного ключа или секции реестра в файл, а также поиск и работа с «Избранным».
Рис. 8. Автоматическая чистка реестра
в программе
Reg Organizer
Рис. 9. Очистка системного реестра вручную средствами
Reg Organizer
Рис. 10. Изменение значения ключа в программе
Reg Organizer
В дополнение к функциям работы с системным реестром Reg Organizer поможет очистить жесткий диск от мусорных файлов, отредактировать имеющиеся в системе и импортировать новые конфигурационные файлы и изменить ряд системных настроек Windows.
RegSeeker 1.52
Разработчик: HoverDesk
Размер дистрибутива: 457 Кбайт
Работа под управлением: Windows (все версии)
Способ распространения: freeware (http://download.betanews.com/download/1035382760/RegSeeker.zip)
Цена: бесплатно для некоммерческого использования
RegSeeker - простая, компактная и достаточно эффективная программа для работы с системным реестром. Она позволяет очищать системный реестр от устаревшей информации (рис. 11), причем по уровню выявления ошибок намного превосходит многие платные решения. При сканировании программа просматривает либо все ветви реестра, либо не учитывает те, что были исключены пользователем. В зависимости от настроек, найденные ошибки исправляются автоматически или выводятся в виде отчета, причем любую из найденных устаревших записей реестра можно не только тут же удалить, но и переключиться в RegEdit, чтобы увидеть соответствующую ветвь более наглядно.
Рис. 11. Очистка реестра в программе RegSeeker
Программа RegSeeker поможет провести поиск в реестре по ключевым словам и легко выявит и покажет список удаленных программ, на которые сохранились ссылки в реестре. Она может отобразить приложения, присутствующие в автозагрузке, и позволяет отключить (рис. 12) либо удалить соответствующие ветви реестра. Столь же легко получить доступ и к тем ветвям реестра, где хранятся данные о посещении интернет-сайтов, cookies, список последних рабочих документов, список найденных при поиске файлов и т.д. Любые из доступных при просмотре ветвей реестра можно удалить, экспортировать в файл или открыть в RegEdit. Для более удобного переключения к нужным ветвям в RegSeeker имеется менеджер закладок, в котором хранятся закладки на часто открываемые разделы реестра.
Рис. 12. Отключение загрузки программы
при запуске Windows при помощи RegSeeker
Дополнительно в программе предусмотрена возможность регулирования некоторых системных настроек Windows - можно, например, откорректировать вид контекстного меню проводника, включить/отключить автозапуск CD-ROM, установить очистку корзины при завершении работы системы и т.п.
Менеджеры реестра
Registrar Registry Manager 5.02
Разработчик : Resplendence Software
Сайт программы : http://www.resplendence.com/registrar.htm
Размер дистрибутива: 2,47 Мбайт
Работа под управлением: Windows 95/98/Me/NT/2000/XP/2003 Server
Способ распространения : shareware (Registrar Registry Manager Lite - http://www.resplendence.com/download/rrtri.exe)
Цена : Registrar Registry Manager Pro - 44,95 долл., Registrar Registry Manager Lite - бесплатно
Registrar Registry Manager - удобное решение для управления системным реестром на локальных и удаленных компьютерах, которое может рассматриваться как расширенная альтернатива штатному редактору RegEdit. В пакете, рассчитанном на системных администраторов и подготовленных пользователей, возможности по редактированию реестра объединены с его мониторингом и дефрагментацией. Решение представлено двумя версиями: бесплатной функционально ограниченной версией Registrar Registry Manager Lite (которая вполне работоспособна) и платной Registrar Registry Manager Pro.
Registrar Registry Manager позволяет редактировать значения ключей и параметров реестра, создавать новые, копировать и перемещать уже существующие, переименовывать их и удалять ненужные. Причем для всех произведенных с реестром действий поддерживается многократный откат, поэтому в любой момент можно отменить сделанные изменения. Реализованный в пакете быстрый поиск по реестру, дополненный поддержкой закладок и возможностью совмещения поиска с заменой, обеспечивает быстрый доступ к нужным параметрам и позволяет внести требуемые изменения. Удобный режим просмотра реестра (рис. 13), позволяющий раскрашивать ключи и переменные, а также добавлять к ним описания и присваивать категории, дает наглядное представление обо всех его элементах, в которых становится легче ориентироваться. Возможность резервирования данных и поддержка импорта и экспорта помогут предотвратить крах системы в результате порчи реестра и при необходимости восстановить его из резервной копии. В пакете также имеется функция сравнения различных копий реестра (рис. 14) или их отдельных ветвей на предмет изменений, что будет полезно для контроля за инсталляцией/деинсталляцией приложений и драйверов и для удаления записей, сделанных вирусными и шпионскими программами. Контролировать состояние реестра также поможет специальный модуль Registry Activity Monitor (рис. 15), в реальном времени наблюдающий за всеми запущенными процессами, фиксирующий любые изменения в системном реестре и предоставляющий по ним подробную информацию. Дополнительно Registrar Registry Manager позволяет производить дефрагментацию реестра путем его сжатия и блокировать доступ к изменению параметров реестра другими пользователями.
Рис. 13. Просмотр реестра в пакете Registrar Registry Manager
Рис. 14. Результат сравнения различных копий реестра
при помощи Registrar Registry Manager
Рис. 15. Мониторинг изменений в реестре
в режиме
реального времени средствами Registrar Registry Manager
Registry Workshop 3.0.1
Разработчик : TorchSoft
Размер дистрибутива: 735 Кбайт
Работа под управлением: Windows (все версии)
Способ распространения: shareware (30-дневная демо-версия - http://www.torchsoft.com/download/RegistryWorkshop.exe)
Цена: 29,95 долл.
Пакет Registry Workshop представляет собой альтернативу редактору реестра RegEdit и отличается от него более широкими функциональными возможностями, что позволяет быстрее решать стандартные реестровые задачи. Поэтому он ориентирован преимущественно на профессионалов.
Registry Workshop обеспечивает редактирование значений ключей и параметров реестра (рис. 16) напрямую и путем вырезания, копирования и вставки, а также проведение быстрого поиска и замены отдельных параметров (причем в достаточно безопасном режиме благодаря поддержке многократного отката). Пакет позволяет создавать резервную копию всего системного реестра и отдельных его ветвей. Данные копии могут применяться для восстановления системного реестра (только для Windows NT 4/2K/XP/2003) и для сравнения системных реестров, сделанных в разное время. Дополнительно он позволяет производить дефрагментацию системного реестра (рис. 17) с возможностью предварительного просмотра сжатой версии (только для Windows NT 4/2K/XP/2003). Стоит отметить, что Registry Workshop отличается удобством в выполнении различных реестровых операций. Так, многооконный режим позволяет загрузить несколько разных копий реестра одновременно; возможность создания закладок обеспечивает более быстрый доступ к часто открываемым ветвям; широкое использование контекстных меню ускоряет доступ к нужным функциям; поддержка операции drag-and-drop ускоряет перемещение или копирование ключей и переменных и т.д.
Рис. 16. Редактирование системного реестра
в пакете Registry Workshop
Рис. 17. Дефрагментация реестра при помощи
Registry Workshop
Advanced Registry Tracer 2.11
Разработчик : ElcomSoft Co Ltd
Размер дистрибутива: 1,82 Мбайт
Работа под управлением: Windows (все версии)
Способ распространения: shareware (30-дневная демо-версия - http://www.elcomsoft.com/download/art.zip)
Цена: 40 долл. (в Softkey.Ru - 599 руб.)
Advanced Registry Tracer (ART) - удобный инструмент для анализа изменений, происходящих в системном реестре Windows. Программа умеет делать мгновенные снимки реестра и хранит их в своей базе данных - в дальнейшем любые снимки (сделанные в разное время) можно просматривать (рис. 18) и сравнивать между собой на предмет различий. При необходимости можно сделать откат назад, вернув реестр к одному из запомненных предыдущих состояний. Подобное сравнение полезно для решения проблем, связанных с установкой программ либо драйверов или с изменением их настроек в результате каких-то событий. Например, сделав мгновенный снимок реестра до или после установки программы либо драйвера, несложно выявить все изменения, произведенные в ходе установки, и узнать, какие ключи являются ответственными за определенные параметры настройки системы или программы. Данная информация может потребоваться для корректного удаления программы либо драйвера или, наоборот, для установки их на другом компьютере, что прежде всего интересно для администраторов. Кроме того, Advanced Registry Tracer поможет при возникновении проблем с работой программ - так, если сразу после установки приложение функционировало нормально, а позднее начались сбои, то можно вернуть исходное состояние его настроек, сравнив соответствующие снимки реестра (сразу после установки программы и на момент сбоя) и установив изменившиеся параметры в первоначальное состояние. Наличие снимков реестра обеспечивает определенную безопасность при экспериментах с различными настройками системы и может оказаться полезным для выявления троянов.
Рис. 18. Просмотр снимка реестра средствами
Advanced Registry Tracer
Рис. 19. Сравнение снимков реестра
в Advanced Registry Tracer
Сравнение проводится по всему реестру или частично (часть ветвей из сравнения можно исключить), в том числе и из командной строки. Его результаты выводятся в окне утилиты в виде реестра, в котором отличающиеся строки выделяются желтым цветом (одинаковые строки помечаются зеленым цветом) - рис. 19 и указываются все новые, удаленные или измененные ключи либо иные параметры. Предусмотрен расширенный поиск по реестру с учетом даты изменения параметров, причем параметры поиска могут сохраняться в закладках для ускорения его проведения в дальнейшем. Любые ключи реестра несложно сохранить в reg-файле (равно как и импортировать из reg-файла) и открыть в редакторе реестра RegEdit для редактирования. К любому снимку можно добавить комментарии.
Даже самые незначительные изменения настроек в Windows, не говоря уже об установке или удалении программ сопровождаются соответствующим изменениями в системном реестре. Обычно пользователям нет до них никакого дела, но иногда может возникнуть необходимость их отследить, скажем, для сравнения или ручной отмены какого-нибудь изменения, внесенного скриптом или приложением.
Если предполагаемые изменения невелики, отследить их можно средствами самой операционной системы. Откройте редактор реестра, выделите в нем ветвь, в которую предположительно будут внесены изменения и экспортируйте ее в REG-файл с именем 1.
Внесите необходимые изменения и повторно экспортируйте ветку в REG-файл, но уже с именем 2.
Допустим, вы сохранили оба файла в корень диска D. Сравним их. Откройте командную строку и выполните в ней две такие команды:
fc D:/1.reg D:/2.reg > D:/compare.log
Первая устанавливает кириллическую кодировку, вторая сохраняет результат сравнения в лог.
Способ рабочий, но неудобный, так как содержимое файлов реестра сравнивается и выводится посимвольно в столбик, что создает трудности при чтении такого лога. По этой причине подходит способ для отслеживания очень незначительных изменений, двух-трех параметров, не более. В остальных случаях лучше воспользоваться специальными утилитами.
Regshot
Наиболее известной программой для отслеживания изменений в реестре является Regshot. Запускаем утилиту, жмем кнопку «1й снимок», производим настройки, установку ПО и т.д., после чего жмем кнопку «2й снимок», а затем «Сравнить».
Результаты будут выведены в обычном текстовом или HTML-файле (по выбору сравнивающего).
Программа показывает какие разделы и параметры были созданы и удалены, какие изменены и общее количество изменений. К сожалению, Regshot не позволяет сканировать определенные разделы и ключи, из-за чего в файл отчета записываются изменения, сделанные самой Windows.
Registry Live Watch
Несколько иной подход к отслеживанию изменений в реестре предлагает другая бесплатная утилита Registry Live Watch. В отличие от Regshot, она не сравнивает два снимка реестра, а отслеживает изменения в его разделах в режиме реального времени, выводя данные в специальном текстовом поле своего окна. Кроме того, Registry Live Watch позволяет отслеживать изменения, произведенные конкретным исполняемым файлом.
Но и у этой программы есть свой недостаток. Она не может мониторить весь реестр и даже его разделы, а только отдельные ключи.
CRegistry Comparison
Нечто похожее на Regshot представляет собой бесплатная программка CRegistry Comparison. После запуска она предлагает выбрать каталог для сохранения исходного снимка, после чего тут же создает и сохраняет его.
Снимок есть, теперь можно настраивать Windows, устанавливать программы и так далее. После этого запускаем CRegistry Comparison, нажатием кнопки «Browse .cre file» указываем путь к ранее созданному снимку и жмем «Start Compare». Утилита проанализирует снимки и выведет зарегистрированные изменения в своем окне.
Regshot: sourceforge.net/projects/regshot
Registry Live Watch: leelusoft.altervista.org/registry-live-watch.html
CRegistry Comparison: https://cloud.mail.ru/public/8h59/uXYmN9LLv
Как создать снимок реестра?
Создание и сравнение снимков реестра можно реализовать разными способами. Вы можете использовать утилиту RegShot или новую программу RegistryChangesView, о которой я вам подробно расскажу в этой инструкции.
Снимок реестра с RegistryChangesView
Это небольшая бесплатная программа от известного израильского программиста Nir Sofer. У нас на сайте представлено большое количество инструкций к его программам (одна из них USBDeview).
Утилита предназначена для создания и сравнения снимков реестра. Она может пригодиться при необходимости проследить изменения во время установки нового софта или для анализа вредоносных программ.
Скачать RegistryChangesView
Скачать RegistryChangesView вы можете бесплатно с сайта разработчика. На данный момент интерфейс программы на английском языке, но как и все другие утилиты NirSoft она вскоре будет переведена на Русский язык, и будет доступна для скачивания с официального сайта.
Существуют версии как для 32 , так и для 64 бит. Узнать разрядность вашего компьютера вы можете в панели управления.
Если не получилось выяснить разрядность, то просто попробуйте запустить оба файла. Один из них должен сработать.
Установка RegistryChangesView
Это портабельная утилита, для ее работы не требуется установка. Просто разархивируйте скаченный архив и запустите файл.
Использование RegistryChangesView
После запуска утилиты появится главное окно программы. Первым делом необходимо создать снимок реестра Windows.
Перед созданием снимка можно отметить галочкой необходимые ветки реестра. По умолчанию ветка «SAM’ и ветка «Security» не отмечены.
Создание снимка реестра
Снимки реестра сохраняются в папке программы. Каждый снимок в отдельной папке.
Изменения в реестре вы увидите в главном окне программы.
Изменение в реестре
Правым кликом открывается контекстное меню, в котором можно редактировать, сохранять записи или просматривать ее свойства:
Свойства
В целом это довольно мощный инструмент для создания и сравнения снимков реестра. К сожалению, нет возможности выполнить операцию восстановления непосредственно из Registry Changes View. Это означает, что вы должны будете использовать сам реестр, чтобы восстановить значения или использовать другие сторонние программы.
На этом все. Всем удачи, хорошего настроения и информационной безопасности!
www.spy-soft.net
Существует специальная утилита SysTracer специально разработанная для отслеживания изменений в системе, осуществляя это сравнением двух «снимков системы» - до и после. В итоге получаем представленные в удобном виде данные по изменениям в трех категориях «Реестр», «Файлы», «Прочие настройки» (н/п групповые политики, трасе системных утилит aka netsh)
(Честно вам скажу, что собирает она не всё, хотя в большинстве случаев ее достаточно)
PS: Единственное - внимательно ознакомьтесь с документацией в отношении фильтрации, так как Process Monitor by default протоколирует все события. В первую очередь Вам нужно нацелить его на ID процесса инсталятора, а так же (если он не используется в процессе установки - отключить сетевой дамп в нем очень много «мусора» сильно мешает разобраться).
Отслеживание изменений в реестре программой Regshot
Как сделать снимки реестра Windows для сравнения и отслеживания изменений?
Отследить изменения реестра можно разными способами, в ручную или с помощью специальных программ. В данной статье я расскажу как это сделать с помощью программ, что на мой взгляд намного удобнее.
Как я и обещал, в статье «Где скачать вирусы», этой публикацией мы начинаем цикл статей посвященных анализу вредоносных программ. В этих статьях буду рассказывать об инструментах, которые позволяют исследовать вирусы и их поведение.
Сегодняшняя статья будет полезна не только исследователям вирусов, но и просто обычным пользователям, которые хотят стать более продвинутыми в использовании компьютера. Я расскажу как с помощью программы Regshot делать снимки реестра Windows для сравнения и отслеживания изменений.
Что такое реестр Windows?
Реестр - это одна из основных частей операционной системы Microsoft Windows. Несмотря на это, большинство пользователей используют операционную систему и не подозревают о существования реестра.
Неопытный пользователь даже не догадывается, что при изменении всех параметров: установки программ, изменения самой Windows и подключаемых к ней устройств все изменения вносятся в реестр Windows.
Одним словом реестр - это в каком-то смысле ядро операционной системы, в которой сохраняются все настройки и изменения.
Отслеживание изменений в реестре
Зачем анализировать реестр и отслеживать изменения?
Допустим вы уже не просто пассивный пользователь компьютера-чайник и хотите узнать что там происходит за кулисами во время установки новой программы или на виртуальной машине анализировать поведение вируса. Для того чтобы узнать какие изменения делает весь софт, и нужны программы для отслеживания реестра. Одним из таких инструментов является программа RegShot.
Снимок реестра с помощью RegShot
RegShot - небольшая бесплатная с открытым исходным кодом программа, которая позволяет делать снимки реестра и сравнить их. Все изменения, которые произошли в реестре можно сохранить в текстовом файле или файле html.
Скачать RegShot
Скачать программу RegShot бесплатно вы можете по этой прямой ссылке.
Установка RegShot
После того как программа скачалась, разархивируйте архив и перейдите в папку с файлами. В папке будет несколько файлов.
Выбирая исполняемый файл обратите внимание на разрядность вашей операционной системы.
Настройка и использование RegShot
После запуска появится небольшое окно программы, в котором сразу меняем язык шкурки на Русский. Есть также и Украинский язык интерфейса.
Теперь приступим к работе. Отслеживание изменений реестра начинается со снятия первого снимка реестра. Нажимаем на кнопку снимок и в выпадающем окне видим 3 опции:
Выбираем необходимый вариант. В моем случае для примера нет необходимости делать бекап реестра, поэтому я нажимаю на кнопку «Снимок». Программа оживится и начнет создавать первый снимок реестра. Внизу окна вы увидите как меняются цифорки.
Когда цифры остановятся, и программа успокоится, можно приступать к работе со стороними программами, установка и все такое.
После окончания нажимаем на кнопку «Второй снимок» и через несколько секунд можно нажимать на кнопку «Сравнить».
Если в начале было отмечено галочкой поле «Текст», то вы увидите окно текстового редактора Notepad, в котором будет полный отчет изменений реестра.
Я не устанавливал никаких программ, а только изменил несколько параметров в панели управления Windows. Как вы видите утилита Regshot зафиксировала все изменения.
Во время установки софта отчет будет конечно побольше.
Если нужно сделать повторный анализ реестра, то жмем на кнопку «Очистить» и начинаем по новой.
Как вы видите сделать снимок реестра для отслеживания изменений очень просто, особенно когда под рукой правильная программа. Это очень удобно если вам необходимо узнать, какие изменения в реестр вносит программа во время инсталляции. Кстати данным способом можно узнать какие элементы реестра отвечают за ту или иную настройку Windows.
Используя ОС Windows не плохо было бы узнать ее получше. Можно начать со статьи про мистический файл Thumbs.db, о котором вы просто обязаны знать!
На этом все, друзья. В будущем будем изучать и другие инструменты. И да, я не забыл про то, что обещал сделать подробную инструкцию о том, как сделать надежную изолированную лабораторию на виртуальной машине для проверки софта и вирусов. Так что милости просим в наши паблики вконтакте и других соцсетях, чтоб нечего не пропустить.
Примеры мониторинга системного реестра
Более половины всех пользователей ПК в какой-то момент задумываются об автоматизации настроек своей операционной системы. Всем известно, что в операционных системах Windows централизованным хранилищем для большинства настроек самой системы и установленных приложений является системный реестр. В реестре хранятся сотни тысяч параметров, которые отвечают за различные настройки. Зная, что в разделе HKEY_CURRENT_USER расположены настройки учетной записи пользователя, в HKEY_LOCAL_MACHINE – настройки компьютера, а раздел HKEY_CLASSES_ROOT отвечает за запуск необходимой программы при открытии файла с помощью проводника, область поиска необходимого параметра сокращается, хотя найти нужный параметр все равно очень сложно. Использовать твикеры реестра не рекомендуется, так как они могут записывать в реестре ненужные разделы и параметры, а поиск в интернете ничего не дает. В этом случае вам следует воспользоваться программами, предназначенными для мониторинга реестра. В этой статье речь пойдет о RegShot и Process Monitor – утилите Sysinternals, предназначенной для мониторинга операционной системы Windows, которая в режиме реального времени отображает активность файловой системы, реестра, а также процессов и потоков.
Использование программы RegShot
RegShot – это небольшая утилита, предназначенная для фиксации изменений в системном реестре операционных систем Windows. Эта утилита может делать снимки системного реестра, сравнивать два снимка и находить между ними все изменения. Все настройки программы сохраняются в файле конфигурации regshot.inf, а языковые настройки хранятся в файле language.inf. Основным преимуществом программы является то, что она не интегрируется в систему и не записывает в реестр никакой информации. Рассмотрим принципы работы этой утилиты на простом примере.
В этом примере попробуем проследить за изменениями, связанными с одной из настроек браузера Internet Explorer. Для того чтобы проследить за изменениями, выполните следующие действия:
После того как первый снимок будет сделан, откройте настройки браузера («Сервис» > «Свойства обозревателя» или введите inetcpl.cpl в поле поиска меню «Пуск» или в диалоге «Выполнить» ). Перейдите на вкладку «Дополнительно» , на опции «Подчеркивать ссылки» установите переключатель на «Никогда» и нажмите на кнопку «Применить» ;
Вернитесь в программу RegShot и нажмите на кнопку «2й снимок» для создания снимка реестра с измененным параметром;
Программа RegShot позволяет сохранять изменения реестра в текстовый и в HTML форматы. Для того чтобы выбрать формат отчетов, установите переключатель на нужной опции в разделе «Сохранить файл отчетов как:» .
В утилите RegShot вы можете также указать путь для сохранения файлов. Для этого введите путь вручную в поле «Путь для сохранения» или воспользуйтесь кнопкой обзор для выбора папки при помощи диалогового окна «Обзор папок» .
После того как второй снимок реестра будет доделан нажмите на кнопку «Сравнить» .
По завершению сравнения снимков реестра откроется программа установленная по умолчанию, предназначенная для открытия выбранного вами типа файла. В данном случае, так как был выбран текстовый формат, отчет открывается в программе «Блокнот» . На следующем скриншоте выделены строки, отвечающие за изменение данной настройки.
После того как отчет будет сформирован вы можете очистить из буфера программы 1й, 2й снимок, а также очистить оба снимка сразу.
Отчет в формате HTML выглядит аккуратней и является более удобным, так как в нем строки со старым значением выделены зеленым цветом, для лучшего восприятия.
Теперь, после того как изменения видны, можно написать reg-файл, отвечающий за данную настройку. Если вы боитесь сделать в reg-файле ошибку, зайдите в редактор реестра и внесите изменения. После этого экспортируйте изменения в reg-файл и в блокноте удалите все ненужные строки.
В данном случае должен получиться такой reg-файл:
Если вам нужно найти сразу несколько параметров реестра, отвечающих за разные настройки, лучше всего находить эти параметры поочередно.
Использование программы Process Monitor
Если утилита RegShot предназначена только для фиксации изменений в системном реестре, то утилита Process monitor от Sysinternals, которая написана на основе утилит FileMon и RegMon, предназначена для мониторинга операционной системы Windows. Она в режиме реального времени отображает активность файловой системы, реестра, а также процессов и потоков. При помощи этой утилиты вы можете выполнять следующие действия:
- отслеживать запуск и завершения работы процессов и потоков, включая информацию о коде завершения;
- собирать данные о параметрах операций ввода и вывода;
- устанавливать фильтры для отображения только нужной информации;
- записывать в журнал все операции во время загрузки системы.
и многое другое.
В этой части статьи я расскажу только о том, как можно следить за изменениями системного реестра при помощи этой утилиты. На примере мы попробуем проследить за изменениями в реестре при изменении браузера, используемого по умолчанию. Для этого выполните следующие действия:
- Загрузите программу ProcessMonitor с сайта Sysinternals.com, распакуйте содержимое архива и запустите файл Procmon.exe. Для работы утилиты Process Monitor необходимо зайти под учетной записью, входящей в группу «Администраторы» ;
- Перед запуском этой утилиты в первый раз отобразится диалоговое окно с лицензионным соглашением. Прочитайте его и нажмите на кнопку «Agree» ;
В случае появления запроса контроля учетных записей пользователей предоставьте подтверждение.
В окне Process Monitor вы можете увидеть все изменения системы в режиме реального времени. Вы можете перетаскивать колонки, изменить их порядок и настроить отображение столбцов утилиты. Для этого в меню «Options» выберите команду «Select Columns» или нажмите правой кнопкой мыши на любом месте заголовка столбцов и в контекстном меню выберите команду «Select Columns» . В рамках этой статьи я не буду акцентировать внимание на значении выбираемых столбцов.
По умолчанию, утилита Process Monitor следит за системными файлами, реестром, процессами, сетевой активностью, а также за событиями профилирования. Так как в этом примере нужно проследить только за системным реестром, оставьте активной только кнопку «Show Registry Activity» , как показано на следующем скриншоте:
- В меню «Filter» выберите команду «Filter» ;
- Воспользуйтесь комбинацией клавиш Ctrl+L ;
- Нажмите на кнопку «Filter» на панели инструментов программы.
Диалоговое окно фильтра позволяет указывать атрибуты, которые будут отображаться или исключаться событиями, соответствующими значениям атрибутов. В этом примере нужно воспользоваться только тремя типами атрибутов:
В этом примере будут использоваться только некоторые значения атрибута Operation . Краткое описание некоторых действий:
RegCloseKey – закрывает дескриптор указанного раздела реестра;
RegOpenKey – открывает дескриптор указанного раздела реестра;
RegCreateKey – создает дескриптор указанного раздела реестра;
RegQueryKey – возвращает значение параметров, связанных с открытым разделом реестра;
RegEnumKey – перечисляет подразделы указанного открытого раздела реестра;
RegDeleteKey – удаляет дескриптор указанного раздела реестра;
RegSetValue – изменяет значение указанного параметра реестра;
В диалоговом окне «Process Monitor Filter» для начала удалите все фильтры. Затем выполните следующие действия:
«EventClass» «is» . В третьем раскрывающемся списке выберите значение «File System» , а затем выберите «Exclude» . Нажмите на кнопку «Add» .
Повторите эти действия для классов «Network» , «Process» и «Profiling» .
Также вместо того чтобы исключать некоторые действия, вы можете просто установить «Include» для действия «RegSetValue» .
После того как нужные фильтры будут выбраны, нажмите на кнопку «ОК» . Во время применения фильтров вы увидите следующий диалог:
Остановите мониторинг реестра до того как вам нужно будет проверять изменения. Для этого нажмите на кнопку «Capture» на панели инструментов, или воспользуйтесь комбинацией клавиш Ctrl+E . Очистите содержимое программы, нажав на кнопку «Clear» или при помощи комбинации клавиш Ctrl+X .
Если у вас установлен по умолчанию браузер Internet Explorer, откройте Opera и дождитесь появления диалога с предложением сделать его по умолчанию. После появления этого диалога перейдите в Process Monitor и включите мониторинг при помощи кнопки «Capture». Снова перейдите в Opera и установите его браузером по умолчанию.
После выполнения этих действий вернитесь в Process Monitor и остановите мониторинг. Окно программы Process Monitor будет выглядеть примерно следующим образом:
Среди отобразившихся значений нетрудно заметить, что все изменения, которые относятся к установке браузера по умолчанию, хранятся в разделе HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts. Значение измененного параметра вы можете увидеть в столбце Details или открыв диалог свойств события:
Как отследить изменения в системе после установки программы?
А уж если Вы «боритесь со защитой злом», то там используются некоторые трюки, которые обычным трейсом не запалить 🙂
Иначе было бы все уж очень просто, в таком случае, самый полезный инструмент, в чем я поддерживаю участника l0calh0st
,
это Process Monitor
от Sysinternals
- это именно то, что нужно. (Эти ребята используют, судя по всему, некоторые не документированные возможности, Марк Руссинович знает толк 🙂) И спрятать какие либо движения от этой утилиты, при правильной ее настройке - крайне затруднительно. (Хотя возможно, знаю как но не скажу - ибо нехер)
