Localizar chave de registro do Windows Modificar data

Question

Localizar chave de registro do Windows Modificar data

#1 resposta do (1 votos)

2

Para que eu possa encontrar o "Último tempo de gravação" de uma chave de registro do Windows clicando com o botão direito do mouse nele no regedit e exportando-o para um arquivo .txt.

Existe alguma maneira de extrair essas informações de um disco rígido montado no Windows sem inicializar o sistema?

windows windows-registry forensics

por DHandle 14.11.2013 / 22:11

1 resposta

Tags windows windows-registry forensics

Que servidor VPN posso instalar no linux e conectar no Windows através de seu cliente VPN incorporado? 2009 Macbook, ponto de interrogação na inicialização e no boot cd

score 1 · Accepted Answer

O que você deseja deve ser capaz de fazer com RegRipper .

Tem uma GUI, mas também uma CLI para extrair o registro. Você precisa especificar um arquivo de seção, portanto, carregar um a partir de uma unidade do Windows montada não deve ser um problema (se você tiver as permissões necessárias no arquivo)

O seguinte é deste artigo sobre RegRipper. Você pode o Google para mais. (Não siga os links nessa página para o RegRipper. Está desatualizado)

Here is a small excerpt from a system registry file:

ComputerName = testbox
----------------------------------------
ControlSet002\Control\Windows key, ShutdownTime value
ControlSet002\Control\Windows
LastWrite Time Mon Jan 19 23:03:52 2009 (UTC)
    ShutdownTime = Mon Jan 19 23:03:52 2009 (UTC)
----------------------------------------
ShutdownCount
ControlSet002\Control\Watchdog\Display
LastWrite Time Mon Jan 19 23:03:52 2009 (UTC)
    ShutdownCount = 218
----------------------------------------
TimeZoneInformation key
ControlSet002\Control\TimeZoneInformation
LastWrite Time Sun Nov  2 14:14:54 2008 (UTC)
    DaylightName   -> Eastern Daylight Time
    StandardName   -> Eastern Standard Time
    Bias           -> 300 (5 hours)
    ActiveTimeBias -> 300 (5 hours)
----------------------------------------
ControlSet002\Control\Terminal Server key, fDenyTSConnections value
LastWrite Time Fri Oct 24 20:53:51 2008 (UTC)
    fDenyTSConnections = 1
----------------------------------------

Na página do Forensicswiki.org :

RegRipper — "the fastest, easiest, and best tool for registry analysis in forensics examinations."

Nesta página de Forensicswiki.org você pode encontrar alguns outros também. (na parte inferior em "Open Source")