Реестр Windows
Реестр – это централизованная иерархическая база данных в Microsoft Windows, которая идля хранения информации, необходимой для настройки системы для различных пользователей, приложений и устройств. Реестр Windows предоставляет собой архив для сбора и хранения следующих данных параметров конфигурации компонентов Windows, установленного оборудования/программного обеспечения/ приложений и другого. Система реестра была впервые представлена в Windows 95 и с тех пор и с тех пор используется во всех ОС Windows.
Все конфигурационные параметры реестра находятся в разделах реестра:
- HKEY_CLASSES_ROOT – Конфигурационные параметры для приложений и файлов;
- HKEY_CURRENT_USER – Данные, которые ссылаются на профиль пользователя, который вошел в систему;
- HKEY_LOCAL_MACHINE – Конфигурационные параметры системного уровня;
- HKEY_USERS – Данные для всех учетных записях на текущем устройстве;
- HKEY_LOCAL_CONFIG – Информационные сведения об используемом профиле оборудования.
Не станем подробно изучать структуру, а лучше отметим, что всякий раз, когда пользователь устанавливает программное приложение, оборудование или драйвер устройства в операционной системе на базе Windows, начальные параметры конфигурации этих программ и драйверов сохраняются в виде ключей и их значений в реестре Windows. Во время использования программного или аппаратного обеспечения изменения, внесенные в конфигурацию, также находят свое отражение в реестре.
С точки зрения форензики, реестр Windows – это сундук с сокровищами. Он не только хранит записи о настройках приложений и ОС, но также отслеживает и пользовательские данные и хранит их в хорошо структурированном виде. Для анализа реестра мы можем использовать MUICache View, Process Monitor, Registry Editor, Regshot, USBDeview и RegRipper.
Для наглядности, для начала, разберем инструмент Regshot.
Regshot
Утилита предназначена для фиксации изменений в реестре ОС Windows на основе создания снимков реестра и их дальнейшего сравнения.
Возможности:
- Выполнение снимков реестра Windows
- Сравнение 2-х снимков;
- Нахождение между ними изменений
Cкачать можно по ссылке https://sourceforge.net/projects/regshot
Запустим Regshot в нашей системе и сделаем первый снимок, выбрав при этом html отчет
После того как первый снимок будет сделан, зайдем в настройки браузера и зададим прокси сервер с ip адрессом 192.168.44.1 и портом 8080 и сохраним изменения
После этого сделаем второй снимок реестра, после чего нажмём “Compare” для вывода на экран html файла с данными по изменению реестра. И теперь мы наглядно видим в каких ветках реестра были добавлены наши значения
Проверим и найдем указанное значение в реестре:
