reglookup – Online in der Cloud

PROGRAMM:

NAME/FUNKTION

reglookup – Tool zum Lesen/Suchen der Windows NT+-Registrierung

ZUSAMMENFASSUNG

reglookup [Optionen] Registry-Datei

BESCHREIBUNG

reglookup wurde entwickelt, um Windows-Registrierungselemente zu lesen und sie in einem Standardformat auszugeben
CSV-ähnliches Format. Es verfügt über Filteroptionen, um den Fokus der Ausgabe einzugrenzen. Dieses Tool ist
Entwickelt für die Arbeit mit Windows NT-basierten Registern.

OPTIONAL

reglookup akzeptiert die folgenden Parameter:

-p Präfix-Filter
Geben Sie einen Pfadpräfixfilter an. Es werden nur Schlüssel/Werte unter diesem Registrierungspfad angezeigt
Ausgabe.

-t Typfilter
Geben Sie einen Typfilter an. Es werden nur Elemente angezeigt, die diesem Registrierungsdatentyp entsprechen
gedruckt. Akzeptable Werte sind: KEINER, SZ, EXPAND_SZ, BINÄR, DWORD, DWORD_BE, VERKNÜPFUNG,
MULTI_SZ, RSRC_LIST, RSRC_DESC, RSRC_REQ_LIST, QWORT und SCHLÜSSEL .TP -h Aktiviert die
Drucken einer Spaltenkopfzeile. (Standard)

-i Gedruckte Werte erben den Zeitstempel ihres übergeordneten Schlüssels, der mitgedruckt wird
mit ihnen. Beachten Sie, dass dieser Zeitstempel nicht unbedingt für eine bestimmte Zeit aussagekräftig ist
Wertwerte, da Zeitstempel nur auf Schlüsseln gespeichert werden und Sie nicht erkennen können, welche
Der Wert wurde geändert, da eine Änderung eines beliebigen Werts eines bestimmten Schlüssels den aktualisieren würde
Zeitstempel.

-H Deaktiviert das Drucken einer Spaltenkopfzeile.

-s Fügt der Ausgabe fünf zusätzliche Spalten hinzu, die Informationen aus der Schlüsselsicherheit enthalten
Deskriptoren und selten verwendete Felder. Die Spalten sind: Eigentümer, Gruppe, Sacl, Dacl,
Klasse. (Die Ausgabe dieser Funktion wurde nicht ausführlich getestet.)

-S Deaktiviert das Drucken von Sicherheitsbeschreibungsinformationen. (Standard)

-v Ausführliche Ausgabe.

Registry-Datei
Erforderliches Argument. Gibt den Speicherort der zu lesenden Registrierungsdatei an. Das System
Registrierungsdateien sollten unter folgendem Pfad zu finden sein: %SystemRoot%/system32/config.

AUSGABE

reglookup generiert durch Kommas getrennte Werte (CSV) und schreibt sie nach stdout. Das Format ist
Entwickelt, um Parsing-Algorithmen anderer Tools durch Anführungszeichen von CSV-Sonderzeichen zu vereinfachen
unter Verwendung eines gängigen Hexadezimalformats. Insbesondere handelt es sich um Sonderzeichen oder Nicht-ASCII-Bytes
konvertiert in „\xQQ“, wobei QQ der Hexadezimalwert für das Byte ist.

Die Anzahl der Spalten oder Felder in jeder Zeile ist für einen bestimmten Programmlauf festgelegt, aber
kann je nach den bereitgestellten Befehlszeilenoptionen variieren. Weitere Informationen finden Sie in der Kopfzeile
welche Felder verfügbar sind und was sie enthalten.

Einige Felder in einigen Zeilen können Unterfelder enthalten, die zusätzliche Trennzeichen erfordern. Wenn
Diese Untertrennzeichen kommen in diesen Unterfeldern vor, sie werden auch auf die gleiche Weise codiert wie
Kommas oder andere Sonderzeichen sind. Derzeit die zweite, dritte und vierte Ebene
Trennzeichen sind „|“, „:“ bzw. „ “. Diese sind besonders wichtig einzunehmen
Hinweis, wann Sicherheitsattribute gedruckt werden. Bitte beachten Sie, dass diese Trennzeichen vorkommen können
in Feldern, die nicht untertrennt sind und nicht als speziell interpretiert werden sollten.

Sicherheitsattribute von Registrierungsschlüsseln haben eine komplexe Struktur, die hier beschrieben wird. Jede
Dem Schlüssel ist im Allgemeinen eine ACL (Access Control List) zugeordnet, die aus ACEs besteht
(Zugriffskontrolleinträge). Jeder ACE wird durch das erwähnte sekundäre Trennzeichen begrenzt
oben: „|“. Die Felder innerhalb eines ACE werden durch das Trennzeichen der dritten Ebene, „:“ und „, getrennt
bestehen aus einer SID, dem ACE-Typ (ALLOW, DENY usw.), einer Liste von Zugriffsrechten und einer Liste von
Flaggen. Die letzten beiden Felder werden durch das Trennzeichen der vierten Ebene „ “ getrennt. Diese endgültig
Listen sind einfach für Menschen lesbare Interpretationen von Bits. Die Abkürzungen für die Zugriffsrechte
sind unten zusammen mit den von Microsoft zugewiesenen Namen aufgeführt:

QRY_VAL KEY_QUERY_VALUE
SET_VAL KEY_SET_VALUE
CREATE_KEY KEY_CREATE_SUB_KEY
ENUM_KEYS KEY_ENUMERATE_SUB_KEYS
NOTIFY KEY_NOTIFY
CREATE_LNK KEY_CREATE_LINK
WOW64_64 KEY_WOW64_64KEY
WOW64_32 KEY_WOW64_32KEY
LÖSCHEN LÖSCHEN
R_CONT READ_CONTROL
W_DAC WRITE_DAC
W_OWNER WRITE_OWNER
SYNC SYNCHRONISIEREN
SYS_SEC ACCESS_SYSTEM_SECURITY
MAX_ALLWD MAXIMUM_ALLOWED
GEN_A GENERIC_ALL
GEN_X GENERIC_EXECUTE
GEN_W GENERIC_WRITE
GEN_R GENERIC_READ

Und die Bedeutung jeder Flagge ist:

OI-Objekt erben
CI-Container erben
NP Non-Propagate
Nur E/A-Vererbung
IA hat ACE geerbt

Weitere Informationen finden Sie in den folgenden Referenzen:

http://msdn2.microsoft.com/en-gb/library/ms724878.aspx
http://msdn2.microsoft.com/en-gb/library/aa374892.aspx
http://msdn2.microsoft.com/en-us/library/aa772242.aspx
http://support.microsoft.com/kb/220167

Beachten Sie, dass einige der oben aufgeführten Bits entweder nicht von Microsoft zugewiesen wurden oder
sind einfach nicht dokumentiert. Wenn in den beiden oben genannten Feldern Bits gesetzt sind, die nicht gesetzt sind
erkannt, wird eine hexadezimale Darstellung aller dieser mysteriösen Teile enthalten sein
die Ausgabe. Zum Beispiel, wenn das niedrigste Bit und das drittniedrigste Bit nicht erkannt wurden
gesetzt, würde die Zahl „0x5“ als Element in die Liste aufgenommen.

Während das ACL/ACE-Ausgabeformat zu diesem Zeitpunkt weitgehend stabil ist, kann es zu geringfügigen Änderungen kommen
in zukünftigen Versionen eingeführt.

Beispiele:

So lesen und drucken Sie den Inhalt einer gesamten Systemregistrierungsdatei:

reglookup /mnt/win/c/WINNT/system32/config/system

So beschränken Sie die Ausgabe auf die Einträge unter dem Schlüssel „Dienste“:

reglookup -p /ControlSet002/Services /mnt/win/c/WINNT/system32/config/system

Um die Ausgabe auf alle Registrierungswerte vom Typ BINARY zu beschränken:

reglookup -t BINARY /mnt/win/c/WINNT/system32/config/system

Und um die Ausgabe auf BINARY-Werte unter dem Services-Schlüssel zu beschränken:

reglookup -t BINARY -p /ControlSet002/Services /mnt/win/c/WINNT/system32/config/system

Verwenden Sie reglookup online über die Dienste von onworks.net