Jak znaleźć ukryte wpisy rejestru?

Wiele hacków i poprawek w systemie Windows wymaga manipulacji w rejestrze. Dość często wymaga dodania nowego klucza / wartości. Są jednak chwile, kiedy chciałbym wprowadzić poprawki i nie ma samouczka online.

Biorąc pod uwagę ustawienie lub zachowanie, które chcę zmienić, jak powinienem odkryć odpowiedni klucz / wartości? Czy powinienem używać zewnętrznego edytora rejestru lub dekompilatora?

Po prostu zacznij czytać Microsoft Technet, a znajdziesz wiele i więcej „ukrytych” kluczy / wartości rejestru. Nie wiem, czy jest jakaś lista kluczy, których nie ma po czystej instalacji, ale znajdziesz je po rozpoczęciu hakowania systemu Windows.

Co robię, gdy potrzebuję specjalnej funkcjonalności / zachowania w systemie Windows (lub po prostu chcę dowiedzieć się więcej o niektórych dobrze znanych funkcjach):

• Spróbuj znaleźć o tym w Google & Stackexchange, może ktoś już to zrobił.
• Spróbuj znaleźć alternatywne sposoby na zrobienie tego, jeśli je znajdziesz, to staram się od nich uczyć.
• Dowiedz się, czy jakikolwiek system operacyjny Windows to potrafi, dowiedz się, jak to zrobić.
• Przeszukaj rejestr za pomocą regedit, użyj tutaj swojej wyobraźni.
• Spróbuj zdemontować część systemu operacyjnego, którą chcesz zmodyfikować / zrozumieć. Jeśli się nie powiedzie / utknął, znajdź inną trasę i zacznij od nowa.
• Pamiętaj, że jeśli wydaje się, że nie można tego zrobić, nadal masz wiele opcji:
  1. Napisz własny program, który: a) manipuluje istniejącym interfejsem użytkownika lub b) tworzy nowy interfejs użytkownika lub c) rozszerza część systemu operacyjnego, której nie lubisz lub d ) zastępuje część systemu operacyjnego, której nie lubisz.
  2. Zapomniałem o tym.

Jak już wspomniano w komentarzach, powinieneś przeczytać więcej o wewnętrznych elementach systemu Windows i zadać bardziej szczegółowe pytanie po tym, jak masz prawdziwe problemy ze znalezieniem specjalnych wartości. Myślę, że jeśli naprawdę potrzebujesz pełnej listy kluczy / wartości reg, powinieneś sam (przynajmniej częściowo) zrobić to jako ćwiczenie edukacyjne.

I na koniec, oto kilka prostych linii z logagent.exe:

0000:1188 |                 CryptUnprotectData..CryptPro
0000:11B4 | tectData....c.r.y.p.t.3.2...d.l.l...E.n.a.b.
0000:11E0 | l.e.N.e.g.o.t.i.a.t.e...S.o.f.t.w.a.r.e.\.M.
0000:120C | i.c.r.o.s.o.f.t.\.W.i.n.d.o.w.s.\.C.u.r.r.e.
0000:1238 | n.t.V.e.r.s.i.o.n.\.I.n.t.e.r.n.e.t. .S.e.t.
0000:1264 | t.i.n.g.s...=.".....r.e.a.l.m... ...,.;.....
0000:1290 |  .......N.e.g.o.t.i.a.t.e...B.a.s.i.c. .....
0000:12BC | https://....D.e.l.e.t.e.....N.o.R.e.m.o.v.e.
0000:12E8 | ....F.o.r.c.e.R.e.m.o.v.e...V.a.l...B...D...
0000:1314 | S...................ì...Ø...È...ê¶..¯·..bü..
0000:1340 | I·..d·...·..à·...·..¦·...¹..bü...º..O¾..¶Ü..
0000:136C | .Ý..cÝ..!º..8º..`[..Dº..ú...º..O¾..¶Ü...Ý..
0000:1398 | cÝ...Ï..8º..VÏ..Dº..  [proxy]...:././...1.2.
0000:13C4 | 7...0...0...1...d.o.o.G.....d.r.o.w.s.s.a.P.
0000:13F0 | ....r.e.s.U.....h.t.a.P.....\...SOFTWARE\Mic
0000:141C | rosoft\Windows Media\WMSDK\etacsufbO.... .:.
0000:1448 |  ... .?. ...?. .....L.o.a.d.C.r.e.d.e.n.t.i.
0000:1474 | a.l.s...................ì...Ø...È...^..n..5N
0000:14A0 | ·.jC/.ËôWNetRemoveCachedPassword....WNetCach
0000:14CC | ePassword...WNetGetCachedPassword...mpr.dll.
0000:14F8 | PStoreCreateInstance....pstorec.dll.DisableP
0000:1524 | asswordCaching..SOFTWARE\Microsoft\Windows M
0000:1550 | edia\WMSDK..A.c.c.e.s.s.P.e.r.m.i.s.s.i.o.n.
0000:157C | ....A.P.P.I.D.\.{.%.s.}.....A.P.P.I.D.\.%.s.
0000:15A8 | ....L.a.u.n.c.h.P.e.r.m.i.s.s.i.o.n.........
0000:15D4 | ............Ðñ..Áñ...ò...ñ..1ì......Zé..?é..
0000:1600 | ßñ...é..Kê..ßé...í..Xê..iê..Ïò..sê...ê...ë..
0000:162C | 9ë..'ì...(..hò..................ì...Ø...È...
0000:1658 | +...._..÷....ø..3ô..J...a...............¢...
0000:1684 | ....K.......Ý.......à...¹...Z.......äô..#ö..
0000:16B0 | .õ...÷..{ü...ü...ü..ïû..bü..Wü..Wü...ü...ü..
0000:16DC | °û..WSAJoinLeaf.WSARecvFrom.WSARecv.WSAConne
0000:1708 | ct..WSASocketA..WSASendTo...WSASend.WSAIoctl
0000:1734 | ....WSAEnumProtocolsA...ws2_32..U.s.e. .T.r.
0000:1760 | a.n.s.m.i.t.P.a.c.k.e.t.s.......S.o.f.t.w.a.
0000:178C | r.e.\.M.i.c.r.o.s.o.f.t.\.W.i.n.d.o.w.s. .M.
0000:17B8 | e.d.i.a.\.P.l.a.t.f.o.r.m...Æô..._..Õô..Þ...
0000:17E4 | ....+...._..÷...........J...a...............
0000:1810 | ¢.......K.......Ý.......à...¹...Z.......;...
0000:183C | ........................ì...Ø...È...w>.ÍÖfdF
0000:1868 | .Ç6Û¶AÐñS.o.f.t.w.a.r.e.\.M.i.c.r.o.s.o.f.t.
0000:1894 | \.W.i.n.d.o.w.s. .M.e.d.i.a.\.W.M.S.D.K.\.N.
0000:18C0 | A.T.P.o.r.t.M.a.p.p.i.n.g.s.....U.D.P...T.C.
0000:18EC | P...%.x. .%.s. .%.u.....FreeAddrInfoW...GetA
0000:1918 | ddrInfoW....w.s.2._.3.2...d.l.l.....W.i.n.d.
0000:1944 | o.w.s. .M.e.d.i.a. .F.o.r.m.a.t. .S.D.K. .(.
0000:1970 | %.s.)...:.:.....:.:.1...0...0...0...0...?.#.
0000:199C | ....................ì...Ø...È...l...h...d...
0000:19C8 | `...T...H...@...wmnetmgr.dll                

Teraz masz kilka linii, co robić? Jeśli masz szczęście, wartości są zakodowane na stałe za pomocą kluczy i można je odzyskać z góry, szukając rekordowych sekwencji bajtów, a następnie znajdując odpowiednie wartości. Możesz także spróbować znaleźć komunikaty o błędach i ich adresy, aby wyśledzić, która część programu je wyrzuca (potrzebne są pewne umiejętności montażu, ale nie jest to zbyt trudne, jeśli pełna inżynieria wsteczna / modyfikacja programu nie jest wymagana).

Znalazłem najlepszy sposób, aby to zrobić, używając Process Monitor .