Статья Восстановление системного реестра Windows

При расследовании компьютерных инцидентов, время от времени, возникает необходимость восстановления удаленных записей из файлов системного реестра. И тут возникает два варианта развития событий:

1. Необходимо восстановить записи из существующих файлов системного реестра (т.е. записи системного реестра текущей операционной системы);
2. Необходимо восстановить записи системного реестра из предыдущей операционной системы.

Для восстановления удаленных записей из существующих файлов системного реестра можно использовать бесплатную утилиту Registry Explorer (

Ссылка скрыта от гостей

), которая в удобном графическом интерфейсе отображает удаленные записи (утилита в автоматическом режиме восстанавливает удаленные записи, при открытии необходимого файла системного реестра):

Кроме указанной выше утилиты, для восстановления удаленных записей из существующих файлов системного реестра, можно использовать Python-скрипт yarp-print (msuhanov/yarp) с параметром --deleted и далее указывает полный путь до файла, из которого необходимо восстановить удаленные записи:

Однако, бывают случаи, когда необходимо узнать какая система была установлена на накопителе и что в ней происходило до того как установили текущую, а для этого требуется восстановить старые файлы системного реестра. К сожалению, "универсальные" программы для восстановления удаленных файлов (R-Studio, PhotoRec и т.д.) не всегда корректно восстанавливают содержимое файлов системного реестра и поэтому для этой цели рекомендую воспользоваться Python-скриптом yarp-carver с параметром --rebuild-margin. Далее следует указать полный путь к образу диска, с которого требуется восстановить файлы системного реестра, а также каталог, в который будет записываться результат:

 

[belforensic]

Ссылка скрыта от гостей

вот еще удобная программка, все можно посмотреть в реестре в два клика

 

[Sunnych]

Ссылка скрыта от гостей

вот еще удобная программка, все можно посмотреть в реестре в два клика

посмотреть да, тут конкретно описываются методы как получить удаленное, и MiTec уже был показан в примере "all in one progrem" ниже ссылки

• Forensics Windows Registry
• Forensics Windows Registry - ntuser.dat
• Forensics Windows Registry - расшифровка и отображение всех записей UserAssist (дополнение к второму пункту статьи "Forensics Windows Registry - ntuser.dat")
• Forensics Windows Registry - история запуска программ (дополнение к статье "Forensics Windows Registry - ntuser.dat")
• Forensics Windows Registers all in one program