Đường dẫn '\ REGISTRY \ A \' trong nhật ký Sysiternals Procmon có nghĩa là gì?

21

Tôi sử dụng tiện ích Sysiternals Procmon để theo dõi truy cập đăng ký bởi một số chương trình. Hầu hết các mục nhật ký có thuộc tính Đường dẫn bắt đầu từ HKCU\…hoặc HKLM\…, tương ứng với tổ ong đăng ký HKEY_CURRENT_USERvà HKEY_LOCAL_MACHINEcó thể được nhìn thấy bằng Regedit. Nhưng một số mục có Đường dẫn bắt đầu từ \REGISTRY\A\…:

nhập mô tả hình ảnh ở đây

Bạn có thể vui lòng giải thích phần nào của đăng ký? Tôi có thể xem nó bằng Regedit hoặc một số tiện ích khác không? Tôi có thể truy cập nó theo chương trình không?

Tôi đang chạy Windows 8.1 Enterprise x64 .

CẬP NHẬT: Tôi đã liên hệ với các nhà phát triển Procmon và họ đã chỉ cho tôi các tài nguyên MSDN sau đây bao gồm câu hỏi này:

— Vladimir Reshetnikov
nguồn

2

Một câu hỏi liên quan: stackoverflow.com/questions/4611291/

— Kẻ

Bạn đã thử nhấp chuột phải và chọn Jump To ?

— Synetech

Có, nhưng nó nhảy đến một khóa không liên quan.

— Vladimir Reshetnikov

Bạn có chắc là nó không liên quan? Bạn đã thử sử dụng jump-to tới một phím tương tự để xem liệu nó có nhảy sang một phím tương tự hoặc với một khóa hoàn toàn khác không? Ví dụ, nếu registry\a\foobar\1nhảy đến hkcu\software\blah\anhưng registry\a\foobar\2nhảy tới hklm\software\microsoft\internet explorer, thì chúng dường như không liên quan, nhưng nếu cái thứ hai nhảy tới hkcu\software\blah\b, thì chúng dường như có liên quan theo một cách nào đó ; có một số loại ánh xạ.

— Synetech

Hmm, tôi nghĩ rằng tôi biết làm thế nào bạn có thể tìm ra chính xác nó là gì, nhưng nó sẽ phải đợi đến sáng mai (thời gian của tôi) khi tôi có thể kiểm tra nó

— Synetech 22/12/13

7

Đây là tổ ong ứng dụng , có thể được nhìn thấy trong tình trạng không ổn định! tổ ong ứng dụng là tổ ong đăng ký được tải bởi các ứng dụng chế độ người dùng để lưu trữ dữ liệu trạng thái dành riêng cho ứng dụng. Một ứng dụng gọi hàm RegLoadAppKey để tải tổ ong ứng dụng.

thêm thông tin về

http://msdn.microsoft.com/en-us/l Library / windows / hardware / jj673019% 28v = vs85% 29.aspx

— abs2run
nguồn

1

Có thể chỉnh sửa hoặc xóa hoàn toàn dữ liệu này?

— Maxim

5

Đường dẫn '\ REGISTRY \ A \' trong nhật ký Sysiternals Procmon có nghĩa là gì? Bạn có thể vui lòng giải thích phần nào của registry? Tôi có thể xem nó bằng Regedit hoặc một số tiện ích khác không? Tôi có thể truy cập nó theo chương trình không?

Tôi không thể tái tạo những gì bạn đang thấy trên hệ thống của mình, nhưng tôi có thể cho bạn biết làm thế nào bạn có thể tìm ra những gì nó là của bạn. Bạn có thể xem danh sách tất cả các tổ ong đăng ký hiện được gắn dưới bất kỳ tên nào (bao gồm cả tổ ong toàn hệ thống, tổ ong người dùng cho người dùng hiện đang đăng nhập và bất kỳ tổ ong nào được tải thủ công hoặc bằng phần mềm) tại khóa đăng ký sau. Nó sẽ hiển thị cả đường dẫn đăng ký nội bộ và đường dẫn đến tệp hive (hình 1).

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\hivelist

Bạn có thể sử dụng lệnh này để xem dịch vụ nào đang được lưu trữ theo thể hiện cụ thể của svchost.exe. Tôi đã sử dụng pid (1240) mà nó đang sử dụng tại thời điểm chụp màn hình của bạn; thay thế nó bằng bộ điều khiển hiện tại.

tasklist /svc /fi "pid eq 1240"

Hình 1 : Ảnh chụp màn hình của trình soạn thảo sổ đăng ký với khóa xoay được tô sáng, hiển thị tổ ong đăng ký được gắn kết

Ảnh chụp màn hình của trình soạn thảo sổ đăng ký với khóa xoay được tô sáng

— Synetech
nguồn

2

\REGISTRY\Akhông được liệt kê trong hivelistkhóa. Câu trả lời từ @ abs2run là câu trả lời đúng nói chung.

— Eryk CN

1

Mặc dù thông tin về hivelistlà thú vị và hữu ích, mặc dù điều này không giải thích \REGISTRY\A.

— binki

5

\REGISTRY\Alà một tổ hợp đăng ký ẩn để sử dụng bởi các ứng dụng Windows Store (còn gọi là ứng dụng kiểu Metro).

— Piotr Shirthin
nguồn

2

Một số vấn đề: • Câu hỏi này có đăng ký trong câu hỏi nhưng có trên Windows 7 , vì vậy có vẻ như nó không được kết nối với các ứng dụng Windows. • Ngay cả khi bạn đúng, ứng dụng Windows sử dụng nó chính xác và như thế nào; đó là, những gì nó cung cấp mà đăng ký thường xuyên không? • Trang Wikipedia mà bạn liên kết đến hoàn toàn không đề cập đến sổ đăng ký, vì vậy chúng tôi không có cách nào để xác nhận những gì bạn nói hoặc tìm hiểu về nó.

— Synetech

Trong win10, nếu bạn thực hiện nhật ký khởi động procmon và lọc trên "đường dẫn chứa \ registry \ a" và "thao tác là regloadkey", chi tiết bạn sẽ thấy "đường dẫn hive: system32 \ config \ BBI" và nhiều "đường dẫn hive : activstore.dat "các tệp được xử lý cho các ứng dụng Windows trong khi khởi động. Đôi khi dịch vụ dcomlaunch mất nhiều thời gian với tổ ong BBI tùy thuộc vào số lượng người dùng.

— js2010

2

Tôi cần trả lời cho câu hỏi của riêng tôi trong các ý kiến.

Để chỉnh sửa hive riêng nó nên được tải trước.

Đối với Visual Studio, nó có thể được thực hiện theo cách này:

https://social.msdn.microsoft.com/Forums/vstudio/en-US/f636ee47-1eb7-45ed-ae2a-674cbabb8b2c/clear-mru-list-in-visual-studio-2017?forum=visualstudiogal

Sự gia tăng sự cô lập và khả năng phục hồi của VS 2017, hiện tại nó sử dụng một tổ ong đăng ký riêng. Bên trong VS sử dụng chuyển hướng và trong khi đối với các tiện ích mở rộng VS (là dll) thì điều này là trong suốt, đối với các quy trình bên ngoài (đó là exes), điều này khiến chúng không hoạt động.

Để thay đổi giá trị trong sổ đăng ký riêng bằng tay, bạn có thể sử dụng regedit.exe để tải một tổ ong riêng. Bạn cần chọn nút HKEY_USERS và nhấp vào menu Tệp> Tải menu Hive. Bạn chọn tập tin privateateregistry.bin, đặt tên cho tổ ong (Tôi đã nhập vào VS VS77PrivateRegistry,) và bây giờ bạn có thể thấy khóa 15.0_Config được điền như bình thường (lưu ý: sử dụng Tệp> Unload Hive khi hoàn tất):

Để thay đổi giá trị trong sổ đăng ký riêng theo chương trình, bạn cần xây dựng tiện ích mở rộng cho VS hoặc nếu bạn muốn sử dụng exe bên ngoài, bạn cần sử dụng chức năng RegLoadAppKey hoặc tránh sử dụng trực tiếp sổ đăng ký và sử dụng Trình quản lý cài đặt bên ngoài. Xem phần Thay đổi trong danh sách: Giảm tác động của sổ đăng ký trong Thay đổi đột phá trong khả năng mở rộng của Visual Studio 2017.

Đừng quên dỡ bỏ tổ ong trong regedit trước khi bắt đầu ứng dụng bằng cách sử dụng nó.

— Châm ngôn
nguồn