Как найти последние изменения в реестре - Исправление недочетов и поиск решений вместе с Examum.ru

Иногда может потребоваться отследить изменения, выполняемые программами или настройками в реестре Windows. Например, для последующей отмены этих изменений или для того, чтобы узнать, как те или иные параметры (например, настройки оформления, обновлений ОС) записываются в реестр.

В этом обзоре — популярные бесплатные программы, которые позволяют легко просмотреть изменения в реестре Windows 10, 8 или Windows 7 и некоторая дополнительная информация.

Regshot

Regshot — одна из самых популярных бесплатных программ для отслеживания изменений в реестре Windows, доступная на русском языке.

Процесс использования программы состоит из следующих шагов.

Запустите программу regshot (для русскоязычной версии — исполняемый файл Regshot-x64-ANSI.exe или Regshot-x86-ANSI.exe (для 32-бит версии Windows).
При необходимости переключите интерфейс на русский язык в правом нижнем углу окна программы.
Нажмите по кнопке «1-й снимок», а затем — «снимок» (в процессе создания снимка реестра может показаться, что программа зависла, это не так — подождите, процесс может занять несколько минут на некоторых компьютерах).
Произведите изменения в реестре (измените настройки, установите программу и т.п.). Я для примера включил цветные заголовки окон Windows 10.
Нажмите кнопку «2-й снимок» и создайте второй снимок реестра.
Нажмите кнопку «Сравнить» (отчет будет сохранен по пути в поле «Путь для сохранения»).
После проведения сравнения отчет будет автоматически открыт и в нем можно будет увидеть, какие параметры реестра были изменены.
При необходимости очистить снимки реестра нажмите кнопку «Очистить».

Примечание: в отчете вы можете увидеть куда больше измененных параметров реестра, чем по факту было изменено вашими действиями или программами, так как Windows сама часто изменяет отдельные параметры реестра во время работы (при обслуживании, проверке на вирусы, проверке обновлений и т.п.).

Программа Regshot доступна для бесплатной загрузки на сайте https://sourceforge.net/projects/regshot/

Registry Live Watch

Бесплатная программа Registry Live Watch работает по несколько иному принципу: не путем сравнения двух образцов реестра Windows, а путем мониторинга изменений в режиме реального времени. Однако программа не отображает самих изменений, а лишь сообщает о том, что такое изменение произошло.

После запуска программы в верхнем поле укажите, какой раздел реестра нужно отследить (т.е. следить за всем реестром сразу она не может).
Нажмите «Start Monitor» и сообщения о замеченных изменениях будут сразу отображаться в списке внизу окна программы.
При необходимости вы можете сохранить журнал изменений (Save Log).

Скачать программу можно с официального сайта разработчика http://leelusoft.altervista.org/registry-live-watch.html

WhatChanged

Еще одна программа, позволяющая узнать, что изменилось в реестре Windows 10, 8 или Windows 7 — WhatChanged. Её использование очень похоже на таковое в первой программе этого обзора.

В разделе Scan Items отметьте «Scan Registry» (программа также умеет отслеживать изменения файлов) и отметьте те разделы реестра, которые нужно отследить.
Нажмите кнопку «Step 1 — Get Baseline State» (получить первоначальное состояние).
После изменений в реестре нажмите по кнопке Step 2 для сравнения исходного состояния с изменившимся.
В папке с программой будет сохранен отчет (файл WhatChanged_Snapshot2_Registry_HKCU.txt) содержащий информацию об изменившихся параметрах реестра.

У программы нет собственного официального сайта, но она легко находится в Интернете и не требует установки на компьютер (на всякий случай перед запуском проверьте программу с помощью virustotal.com, при этом учитывайте, что в оригинальном файле есть одно ложное обнаружение).

Еще один способ сравнить два варианта реестра Windows без программ

В Windows присутствует встроенный инструмент для сравнения содержимого файлов — fc.exe (File Compare), который, в том числе, можно использовать и для сравнения двух вариантов ветвей реестра.

Для этого с помощью редактора реестра Windows экспортируйте необходимую ветвь реестра (правый клик по разделу — экспортировать) до изменений и после изменений с разными именами файлов, например, 1.reg и 2.reg.

Затем используйте в командной строке команду наподобие:

fc c:1.reg c:2.reg > c:log.txt

Где указаны сначала пути к двум файлам реестра, а затем — путь к текстовому файлу результатов сравнения.

К сожалению, способ не подойдет для отслеживания значительных изменений (потому как визуально в отчете не получится ничего разобрать), а лишь для какого-то небольшого раздела реестра с парой параметров, где предполагается изменение и скорее для отслеживания самого факта изменения.

Источник

Registry activity can be monitored using specialized software

by Ivan Jenic

Passionate about all elements related to Windows and combined with his innate curiosity, Ivan has delved deep into understanding this operating system, with a specialization in drivers and… read more

Updated on April 7, 2023

Reviewed by
Alex Serban

After moving away from the corporate work-style, Alex has found rewards in a lifestyle of constant analysis, team coordination and pestering his colleagues. Holding an MCSA Windows Server… read more

Registry activity can be monitored with the help of specialized registry monitoring tools.
We’ll show you how to monitor registry changes with a few native in-line commands, so read on!

When you install certain software, it makes a few changes to your registry. Now, it’s no surprise that this can go either way, but fortunately, registry activity can be monitored with the help of specialized tools.

You can monitor registry changes and keep track of all the keys and entries along with their status by using registry monitoring tools. But why would you want to do that?

Tools such as Registry Editor let you edit, but it’s hard to monitor changes with it. This is why many are using specialized software, and speaking of which, we’ll show you the best tools you can use today.

In this article

What does registry monitor do?
What is the best tool to monitor registry changes?
Regshot — Windows registry change tracker + snapshot feature
Tiny Watcher — Lightweight and simple to use
RegFromApp — Record registry changes directly in a .reg file
Process Monitor — Monitor registry changes in real-time
MJ RegWatcher — Extremely lightweight
How do I monitor my registry activity? Reg and FC Method

What does registry monitor do?

Registry monitor will keep track of your registry and inform you if any changes are made. You can analyze the changes and see which applications modify your registry.

Doing so can prevent malware or potential issues with your system. Some applications can approve or deny changes, so you can block suspicious applications from affecting your registry.

Regshot – Windows registry change tracker + snapshot feature

You wanted to know, and we’re here to answer – Can registry activity be monitored with the help of RegShot? Without a shred of a doubt.

Regshot is a very useful tool for monitoring changes in your registry. Besides showing the current state of your Windows registry, it allows you to take a screenshot of it and save it for later comparison.

Regshot is a free and open-source tool that works on both 32-bit and 64-bit versions of Windows.

Besides the Windows registry, Regshot also allows you to take a snapshot of the Windows directories. You can download this open-source registry monitoring tool from SourceForge for free.

Other great features:

Ability to monitor registry
Snapshot feature
Free and open source
Works with Windows directories

⇒ Get Regshot

Tiny Watcher – Lightweight and simple to use

This is another small but incredibly useful software that can track registry changes. The software will capture all running processes, files, registry entries, and scheduled tasks.

Thanks to the built-in notifications, you’ll be informed with an item is created, modified, or deleted. In addition, you can use this software to customize the monitored items.

It’s worth mentioning that there’s SHA-256 support, and it’s used to detect file changes. Overall, it’s a simple but useful software, so be sure to try it.

Other great features:

Monitors processes, files, registry entries, and tasks
Notification for changes
SHA-256 support
Ability to manually approve or reject changes

⇒ Get Tiny Watcher

RegFromApp – Record registry changes directly in a .reg file

RegFromApp is a registry monitoring tool that smoothly monitors all the changes in the registry made by Windows or a certain program you selected.

It also creates a RegEdit registration file (.reg) which stores all registry changes and modifications made by the program or an app you installed.

This .reg file could import all registry changes with RegEditApp, if needed. You can download RegFromApp for free from its developer’s website.

Should you be unable to edit the registry due to insufficient permissions, take a look at our expert tips and regain access.

Other great features:

Easy-to-use interface
Monitors registry changes associated with one application
Compatible with all versions of Windows
Completely free

Some PC issues are hard to tackle, especially when it comes to missing or corrupted system files and repositories of your Windows.
Be sure to use a dedicated tool, such as Fortect, which will scan and replace your broken files with their fresh versions from its repository.

⇒ Get RegFromApp

Process Monitor – Monitor registry changes in real-time

Process Monitor is another very popular, free registry monitoring utility that offers some advanced options. So how to use Process Monitor? It could not be easier!

Simply download Process Monitor for registry changes, run the .exe file, and install it on your hard drive. It works in real-time and shows all system files, registry changes, and processes/threads of your system.

This tiny tool is also able to fix your registry if there are some errors, as well as to remove malware and other types of malicious software.

You can download this real-time registry change monitor tool for free.

Other great features:

Ability to show you changes in real-time
Filter feature
Process tree
For advanced users

⇒ Get Process Monitor

MJ RegWatcher – Extremely lightweight

When you first start this software, you’ll notice its simplistic interface, but don’t let that discourage you. The software will scan your registry for changes in determined intervals.

Once a change is detected, you’ll be prompted, or you can configure the software to accept or reject all changes automatically.

The software is simple to use, and it comes with a built-in log so you can keep a close eye on all the registry changes that have occurred on your system.

Other great features:

Simple to use
Built-in log
Automatically scans registry
Ability to automate actions

⇒ Get MJ RegWatcher

How do I monitor my registry activity? Reg and FC Method

And now something for those who don’t like using third-party software for performing system tasks or any other tasks in Windows 10.

Read more about this topic

Error Accessing the Registry [Fixed by experts]
3 Ways to Clean the Registry in Windows 11
The best registry finder software for Windows 10/11
10 Best Bandwidth Monitors For Windows 10/11 [2023 Guide]
7 best tabbed command line tools for Windows 10

If you don’t feel like using specialized registry monitoring tools, Reg and FC is Windows’ built-in command line from the Windows registry. And it allows you to monitor and compare the states of your registry.

Before comparing the registry changes, export all the important registry keys you want to monitor (when your system is performing well) to a text file and export these keys again after a few changes or new installations.

Now compare both files with fc.exe:

Go to search and type fc.exe.
Open fc command and enter the following command line: fc 1st.reg 2nd.reg > result.txt
This command will compare both files and save them in the same directory as .text file.

Now, you know what tools you can install on your Windows 10 computer to keep an eye on the Registry changes that various apps and software operate on the OS.

Knowing what’s changed is one thing, but knowing how to revert the changes is another. So, if you want to eliminate all the changes, you can use a Restore Point, provided that you already created one.

This will help you undo registry changes in Windows 10, should you need to.

Additionally, if you want to reset your Registry, you can install one of these registry cleaners and run it on your machine.

We hope that you’ll find at least one of these tools useful and will help you monitor registry changes easily.

If you have some comments or suggestions or maybe know some other powerful tools for monitoring registry changes, reach us in the comments below, we would love to hear your opinion.

Источник

Windows Время от времени у пользователей и системных администраторов может возникать необходимость посмотреть изменения в реестре Windows за определенный период. Это может быть вызвано желанием посмотреть, какие изменения вносят определенная программа или действия пользователей.

Посмотреть изменения, внесённые в реестр Windows, можно как встроенными в операционную систему средствами, так и при помощи стороннего ПО. Начнём с первых.

Кроме того, упомянем ещё, что всё сводится к двум методам: сравнению двух «снимков» реестра, сделанных в разное время, или мониторингу изменений в режиме реального времени.

Самый доступный способ посмотреть, какие в реестр были внесены изменения, это использование встроенной в Windows утилиты fc.exe. Плюсом этого метода является отсутствие надобности искать дополнительное ПО. В общем-то, утилита fc.exe используется не только для просмотра изменений реестра, а для сравнения двух файлов или наборов файлов вообще. Таким образом, становится понятно, что нам нужны два «снимка» реестра.

Экспортируем предварительно весь реестр или только нужную нам ветку. Допустим, у нас есть два файла: 1.reg и 2.reg, которые мы положили на диск C. Тогда для их сравнения можно использовать команду

fc c:1.reg c:2.reg > c:log.txt

В данном случае мы вывели результат работы команды в текстовый файл. Но я бы рекомендовал использовать более продвинутый формат и (или) редактор посильнее Блокнота, чтобы не было проблем с кодировкой.

Выше я использовал MS Word и формат .doc.

Проблема использования fc.exe кроется в том, что результат её работы является малочитаемым. Скриншот выше говорит о том, что в ветку HKEY_LOCAL_MACHINESOFTWARETest был добавлен параметр Primer. Но вряд ли получится это понять, если не знать об этом заранее. Полноценным инструментом анализа fc.exe не назовешь. Эта утилита больше подходит, когда вы сами вносите изменения в реестр, и хотите убедиться, что они были внесены (но не хотите бродить по веткам реестра в regedit).

Поэтому перейдем к другой утилите, которая, к сожалению, уже не входит в состав современных версий Windows, но может быть добавлена. Называется она WinDiff. Добавить её можно через установку пакетов Microsoft Windows SDK. К сожалению, после Windows 7 WinDiff исключили и из этих пакетов, но скачать её можно и отдельно, например, по этой ссылке.

Чтобы использовать утилиту WinDiff из командной строки Windows, поместите её в каталог %WINDIR%System32. Теперь для сравнения двух файлов реестра из примера нам достаточно ввести команду

windiff C:1.reg C:2.reg

Откроется графический интерфейс утилиты, который можно видеть на скриншоте выше. Разберемся, как читать вывод программы WinDiff.

Строки на белом фоне означают совпадение содержимого файлов;
Строки на красном фоне показывают содержимое первого (левого) файла, которого нет во втором (правом);
Строки на желтом фоне показывают содержимое второго (правого) файла, которого нет в первом (левом).

У нас есть желтая строка с содержимым «Primer»=»». Это говорит о том, что во втором файле появился параметр Primer с пустым значением. И находится он в HKEY_LOCAL_MACHINESOFTWARETest. Так как второй файл был сохранен позже первого, можно сделать вывод, что этот параметр был добавлен, а не удален.

Перейдем к сторонним утилитам мониторинга реестра.

Популярным бесплатным решением является программа Regshot. Программа тоже работает со снимками реестра, причем делает их сама, а не анализирует заранее сохраненные файлы. В этом её минус. А плюс в том, что она очень проста.

Сперва нужно сделать первый снимок реестра.

Некоторое время уйдёт на этот процесс. Далее проводим операции с компьютером, которые хотим зафиксировать, и делаем второй снимок.

После чего их можно сравнить.

После окончания процесса сравнения программа автоматически откроет файл с результатами работы. Ещё одним плюсом Regshot является то, что этот файл легко читается. Правда, стоит отметить, что в нём будет куча изменений реестра, которые могут показаться своеобразной азбукой Морзе. В моем случае оба снимка были сделаны с разницей меньше минуты. Мои действия заключались только в том, что я удалил параметр Primer. Как видите, программа это зафиксировала. А также зафиксировала и много других изменений. «Под капотом» операционной системы постоянно что-то происходит, и большая часть из этого скрыта от наших глаз.

Более ненужные снимки можно удалить, нажав кнопку Очистить в интерфейсе программы. Скачать программу Regshot можно по этой ссылке.

Последним рассматриваемым в этой статье средством мониторинга реестра Windows будет программа Registry Live Watch. Пожалуй, уже из названия можно понять, что данная программа способна следить за изменением реестра в реальном времени.

Программа тоже крайне проста и, по сути, даже не имеет толком настроек. Вы лишь указываете ветку реестра, за которой требуется следить, и запускаете мониторинг кнопкой Start Monitor.

Однако программа имеет серьезный недостаток, который, по большей части нивелирует саму идею мониторинга. Она выдаёт лишь сообщения об изменении в наблюдаемой ветке реестра, но не пишет, какие именно изменения были внесены. Вторым недостатком является то, что Registry Live Watch не умеет мониторить весь реестр целиком. Скачать программу можно здесь.

Под конец статьи поговорим о том, как автоматизировать сбор информации о реестре не прибегая к стороннему ПО. Сделать это можно при помощи скрипта, содержащего команду reg export, синтаксису которой посвящена отдельная статья. Запуская данный скрипт по расписанию, вы получите ряд снимков реестра, которые можно будет при необходимости сравнить.

Источник

Даже самые незначительные изменения настроек в Windows, не говоря уже об установке или удалении программ сопровождаются соответствующим изменениями в системном реестре. Обычно пользователям нет до них никакого дела, но иногда может возникнуть необходимость их отследить, скажем, для сравнения или ручной отмены какого-нибудь изменения, внесенного скриптом или приложением.

Если предполагаемые изменения невелики, отследить их можно средствами самой операционной системы. Откройте редактор реестра, выделите в нем ветвь, в которую предположительно будут внесены изменения и экспортируйте ее в REG-файл с именем 1.

Внесите необходимые изменения и повторно экспортируйте ветку в REG-файл, но уже с именем 2.

Допустим, вы сохранили оба файла в корень диска D. Сравним их. Откройте командную строку и выполните в ней две такие команды:

chcp 1251

fc D:/1.reg D:/2.reg > D:/compare.log

Первая устанавливает кириллическую кодировку, вторая сохраняет результат сравнения в лог.

Способ рабочий, но неудобный, так как содержимое файлов реестра сравнивается и выводится посимвольно в столбик, что создает трудности при чтении такого лога. По этой причине подходит способ для отслеживания очень незначительных изменений, двух-трех параметров, не более. В остальных случаях лучше воспользоваться специальными утилитами.

Наиболее известной программой для отслеживания изменений в реестре является Regshot. Запускаем утилиту, жмем кнопку «1й снимок», производим настройки, установку ПО и т.д., после чего жмем кнопку «2й снимок», а затем «Сравнить».

Результаты будут выведены в обычном текстовом или HTML-файле (по выбору сравнивающего).

Программа показывает какие разделы и параметры были созданы и удалены, какие изменены и общее количество изменений. К сожалению, Regshot не позволяет сканировать определенные разделы и ключи, из-за чего в файл отчета записываются изменения, сделанные самой Windows.

Несколько иной подход к отслеживанию изменений в реестре предлагает другая бесплатная утилита Registry Live Watch. В отличие от Regshot, она не сравнивает два снимка реестра, а отслеживает изменения в его разделах в режиме реального времени, выводя данные в специальном текстовом поле своего окна. Кроме того, Registry Live Watch позволяет отслеживать изменения, произведенные конкретным исполняемым файлом.

Но и у этой программы есть свой недостаток. Она не может мониторить весь реестр и даже его разделы, а только отдельные ключи.

Нечто похожее на Regshot представляет собой бесплатная программка CRegistry Comparison. После запуска она предлагает выбрать каталог для сохранения исходного снимка, после чего тут же создает и сохраняет его.

Снимок есть, теперь можно настраивать Windows, устанавливать программы и так далее. После этого запускаем CRegistry Comparison, нажатием кнопки «Browse .cre file» указываем путь к ранее созданному снимку и жмем «Start Compare». Утилита проанализирует снимки и выведет зарегистрированные изменения в своем окне.

Скачать утилиты можно по ссылкам:

Regshot: sourceforge.net/projects/regshot

Registry Live Watch: leelusoft.altervista.org/registry-live-watch.html

CRegistry Comparison: https://cloud.mail.ru/public/8h59/uXYmN9LLv

Источник

Изменение большинства настроек Windows практически всегда подразумевает создание или изменение записей в системном реестре. Устанавливаете ли вы программу, включаете или отключайте в параметрах ту или иную функцию, соответствующие изменения тут же заносятся в ключи реестра. Но подобные изменения не всегда имеют положительный результат, замена или удаление параметров пользователем или сторонней программой может привести к неполадкам вплоть до полной неработоспособности системы.

Поэтому было бы неплохо, если бы администратор мог отслеживать производимые в реестре действия, ведь так можно узнать, кто или что изменило реестр. Использовать для этих целей специальные утилиты вроде Process Monitor? Можно, впрочем, Windows располагает и собственными средствами мониторинга, причем столь же эффективными, как и специализированные сторонние утилиты. Этим полезным делом в Windows занимаются особые службы Object Access Audit Policy и Audit Security. Первая отвечает за аудит изменений в реестре, в задачи второй входит наблюдение за конкретными ключами.

Давайте же посмотрим, как задействовать эти инструменты.

Откройте командой с secpol.msc оснастку управления локальными политиками безопасности и перейдите по цепочке Локальные политики -> Политики аудита -> Аудит доступа к объектам.

Кликните по нему два раза, в открывшемся окошке установите галочки в пунктах «Успех» и «Отказ».

Сохраните настройки.

Теперь нужно определиться с ключом реестра, который собираетесь отслеживать.

Откройте командой regedit редактор реестра, отыщите нужный вам подраздел, кликните по нему ПКМ и выберите в меню опцию «Разрешения».

Для примера мы выбрали подраздел SOFTWARE, именно в него заносят записи большинство устанавливаемых приложений.

В открывшемся окошке жмем «Дополнительно».

И переключаемся уже в новом окне настроек на вкладку «Аудит», нажимаем кнопку «Добавить».

В окне элемента аудита щелкаем по ссылке «Выберите субъект» и вводим в поле добавления имен «Все». Жмем «Проверить имена», затем подтверждаем настройки нажатием «OK».

И еще раз «OK».

Далее в окне элемента аудита тип выставляем «Все» (на успех и отказ), общие разрешения — полный доступ и последовательно сохраняем все настройки.

Отныне любые действия, вносимые в реестр программами или пользователями, станут записываться в журнал событий, а вы сможете их просматривать, используя в качестве параметров сортировки следующие идентификаторы:

• 4656 — код указывает на попытку пользователя получить доступ к ключу реестра.
• 4657 — этот код указывает на изменение какого-либо параметра в реестре.
• 4660 — запись с этим кодом события будет сделана при удалении параметра.
• 4663 — код события, определяющий совершенное действие — создание нового параметра, просмотр, изменение либо удаление уже существующего.