O que significa o caminho '\ REGISTRY \ A \…' no log do Sysinternals Procmon?

22

Eu uso o utilitário Sysinternals Procmon para monitorar o acesso ao registro por alguns programas. A maioria das entradas de log tem a propriedade Path iniciada em HKCU\…ou HKLM\…, que corresponde às seções do registro HKEY_CURRENT_USERe HKEY_LOCAL_MACHINEque pode ser vista usando o Regedit. Mas algumas entradas têm o caminho a partir de \REGISTRY\A\…:

insira a descrição da imagem aqui

Você poderia explicar qual é a parte do registro? Posso vê-lo usando o Regedit ou algum outro utilitário? Posso acessá-lo programaticamente?

Estou executando o Windows 8.1 Enterprise x64 .

ATUALIZAÇÃO: Entrei em contato com os desenvolvedores do Procmon e eles me indicaram os seguintes recursos do MSDN que cobrem esta pergunta:

— Vladimir Reshetnikov
fonte

2

Uma questão relacionada: stackoverflow.com/questions/4611291/…

— Vladimir Reshetnikov

Você tentou clicar com o botão direito do mouse em um e selecionar Ir para ?

— 22413 Synetech

Sim, mas ele pula para uma chave não relacionada.

— Vladimir Reshetnikov

Tem certeza de que não está relacionado? Você tentou usar o salto para uma chave semelhante para ver se ela salta para uma chave semelhante ou para uma chave completamente diferente? Por exemplo, se registry\a\foobar\1pula para hkcu\software\blah\amas registry\a\foobar\2pula para hklm\software\microsoft\internet explorer, então eles parecem não ter relação, mas se o segundo pula para hkcu\software\blah\b, então eles parecem estar relacionados de alguma maneira ; existe algum tipo de mapeamento.

— 22413 Synetech

Hmm, eu acho que sei como você pode descobrir exatamente o que é, mas vai ter que esperar até amanhã de manhã (o meu tempo) quando eu posso testá-lo ...

— Synetech

7

É uma seção de aplicativos , que pode ser vista na volatilidade sem nome! seções de aplicação são seções de registro carregadas por aplicativos no modo de usuário para armazenar dados de estado específicos do aplicativo. Um aplicativo chama a função RegLoadAppKey para carregar uma seção de aplicativo.

mais informações sobre

http://msdn.microsoft.com/en-us/library/windows/hardware/jj673019%28v=vs.85%29.aspx

— abs2run
fonte

1

É possível editar ou excluir esses dados completamente?

— Maxim

5

O que significa o caminho '\ REGISTRY \ A \…' no log do Sysinternals Procmon? Você poderia explicar qual é a parte do registro? Posso vê-lo usando o Regedit ou algum outro utilitário? Posso acessá-lo programaticamente?

Não consigo reproduzir o que você está vendo no meu sistema, mas posso lhe dizer como você pode descobrir o que está no seu. Você pode ver uma lista de todas as seções do Registro atualmente montadas sob qualquer nome (incluindo seções do sistema, seções do usuário para usuários que estão conectados no momento e seções carregadas manualmente ou pelo software) na seguinte chave do Registro. Ele mostrará o caminho do registro interno e o caminho para o arquivo da seção (figura 1).

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\hivelist

Você pode usar este comando para ver quais serviços estão sendo hospedados pela instância específica de svchost.exe. Eu usei o pid (1240) que ele estava usando no momento da sua captura de tela; substitua-o pelo PID atual.

tasklist /svc /fi "pid eq 1240"

Figura 1 : Captura de tela do editor de registro com a chave da linha de destaque destacada, mostrando as seções de registro montadas

Captura de tela do editor de registro com a chave hivelist destacada

— Synetech
fonte

2

\REGISTRY\Anão está listado na hivelistchave. A resposta de @ abs2run é a resposta correta em geral.

— Eryk Sun

1

Embora as informações sobre hivelistsejam interessantes e úteis, mesmo que isso não explique \REGISTRY\A.

— binki

5

\REGISTRY\Aé uma seção de registro oculta para uso dos aplicativos da Windows Store (também conhecidos como aplicativos estilo Metro).

— Piotr Shatalin
fonte

2

Alguns problemas: • Esta pergunta tem a seção de registro em questão, mas está no Windows 7 , portanto, parece que não está conectada a aplicativos do Windows. • Mesmo se você estiver correto, o que e como exatamente os aplicativos do Windows o usam; isto é, o que ele fornece que o registro regular não? • A página da Wikipedia à qual você se vinculou não menciona o registro, portanto não temos como confirmar o que você disse ou aprendeu sobre ele.

— 22413 Synetech

No win10, se você fizer um log de inicialização procmon e filtrar "caminho contém \ registro \ a" e "operação é regloadkey", em detalhes, você verá "caminho da seção: system32 \ config \ BBI" e muitos "caminho da seção : activationstore.dat "arquivos processados para aplicativos do Windows durante a inicialização. Às vezes, o serviço dcomlaunch demora muito tempo com a seção BBI, dependendo do número de usuários.

— Js2010 # js2010 #

4

Eu preciso responder à minha própria pergunta nos comentários.

Para editar uma seção particular, ela deve ser carregada antes.

Para o Visual Studio, isso pode ser feito da seguinte maneira:

https://social.msdn.microsoft.com/Forums/vstudio/en-US/f636ee47-1eb7-45ed-ae2a-674cbabb8b2c/clear-mru-list-in-visual-studio-2017?forum=visualstudiogeneral

Para aumentar o isolamento e a resiliência do VS 2017, ele agora usa uma seção de registro privada. Internamente, o VS usa um redirecionamento e, embora para extensões do VS (que são dlls) isso seja transparente, para processos externos (que são exes), isso faz com que eles não funcionem.

Para alterar os valores na seção particular do registro manualmente, você pode usar o regedit.exe para carregar uma seção particular. Você precisa selecionar o nó HKEY_USERS e clicar no menu Arquivo> Carregar seção…. Você seleciona o arquivo privateregistry.bin, nomeia a seção (digitei “VS2017PrivateRegistry”) e agora você pode ver a chave 15.0_Config preenchida como de costume (nota: use Arquivo> Descarregar seção quando terminar):

Para alterar valores na seção de registro privada programaticamente, é necessário criar uma extensão para o VS ou se você deseja usar um exe externo, precisa usar a função RegLoadAppKey ou evitar usar o registro diretamente e usar o Gerenciador de configurações externas. Consulte a seção “Alteração: reduza o impacto do registro” em Quebrando alterações na extensibilidade do Visual Studio 2017.

Não se esqueça de descarregar a seção no regedit antes de iniciar o aplicativo.

— Máxima
fonte