hivexregedit - Online in de cloud

PROGRAMMA:

NAAM

hivexregedit - Registerwijzigingen samenvoegen en exporteren vanuit bestanden in regedit-formaat.

KORTE INHOUD

hivexregedit --merge [--voorvoegsel voorvoegsel] [--encoding enc] \
hivebestand [regbestand]

hivexregedit --export [--prefix prefix] hivefile-sleutel > regfile

PRODUCTBESCHRIJVING

Houd er rekening mee dat hivexregedit een hulpmiddel op laag niveau is voor het rechtstreeks manipuleren van hive-bestanden. Naar
registerwijzigingen samenvoegen of exporteren naar virtuele Windows-machines die u beter kunt gebruiken
virt-win-reg(1).

Gegeven een lokaal binair ("hive") bestand, zijn er twee modi. "--merge" import (samenvoegingen)
verandert van een bestand in regedit-formaat naar de component. Het is vergelijkbaar met het gebruik van de schakelaar "/s".
in Windows regedit.exe.

"--export" exporteert een registersleutel (recursief) naar het regedit-formaat.

CODERING
"hivexregedit" verwacht dat regedit-bestanden al opnieuw zijn gecodeerd in de lokale versie
codering. Meestal betekent dit op Linux-hosts UTF-8 met regeleindes in Unix-stijl. Sinds
Windows regedit-bestanden zijn vaak in UTF-16LE met regeleindes in Windows-stijl, die u wellicht nodig heeft
om het hele bestand voor of na verwerking opnieuw te coderen.

Om een ​​bestand opnieuw te coderen van Windows-formaat naar Linux (voordat het wordt verwerkt met de opdracht "--merge"
optie), zou je zoiets als dit doen:

iconv -f utf-16le -t utf-8 < win.reg | dos2unix > linux.reg

Om in de tegenovergestelde richting te gaan, na het gebruik van "--export" en voordat het bestand naar een
Windows-gebruiker, doe zoiets als dit:

unix2dos <linux.reg | iconv -f utf-8 -t utf-16le > win.reg

Voor meer informatie over codering, zie: Gewonnen::Hivex::Regedit(3).

Als u niet zeker bent van de huidige codering, gebruik dan de filet(1) opdracht. recente versies van
Windows regedit.exe produceert een UTF-16LE-bestand met regeleindes in Windows-stijl (CRLF), zoals
deze:

$ bestand software.reg
software.reg: Little-endian UTF-16 Unicode-tekst, met zeer lange regels,
met CRLF-lijnafsluitingen

Dit bestand moet worden geconverteerd voordat u het kunt "--samenvoegen".

SHELL CITAAT
Wees voorzichtig bij het doorgeven van parameters met "\" (backslash) in de shell. Meestal jij
zal 'enkele aanhalingstekens' of dubbele backslashes (maar niet beide) moeten gebruiken om ze te beschermen tegen
de schelp.

CurrentControlSet enz.
Registersleutels zoals "CurrentControlSet" bestaan ​​niet echt in het Windows-register op de
niveau van het hive-bestand, en daarom kunt u deze niet wijzigen.

"CurrentControlSet" is meestal een alias voor "ControlSet001". In sommige omstandigheden is het
kan verwijzen naar een andere controleset. De manier om erachter te komen is door te kijken naar de
"HKLM\SYSTEM\Select" toets:

$ hivexregedit --export SYSTEEM '\Select'
[\Selecteer]
"Huidige"=dword:00000001
"Standaard"=dword:00000001
"Mislukt"=dword:00000000
"LastKnownGood"=dword:00000002

"Huidige" is degene die Windows zal kiezen wanneer het opstart.

Evenzo moeten mogelijk andere "Huidige..."-sleutels in het pad worden vervangen.

VOORBEELD

$ virt-cat WindowsGuest /Windows/System32/config/software > software.hive
$ hivexregedit --export \
--voorvoegsel 'HKEY_LOCAL_MACHINE\SOFTWARE' \
software.hive '\Microsoft' > ms-keys.reg

$ hivexregedit --merge system.hive \
--voorvoegsel 'HKEY_LOCAL_MACHINE\SYSTEM' toevoegingen.reg

OPTIES

--help
Hulp weergeven.

--debuggen
Schakel foutopsporing in de hivex-bibliotheek in. Dit is handig voor het diagnosticeren van bugs en ook
misvormde hive-bestanden.

--samenvoegen
hivexregedit --merge [--voorvoegsel voorvoegsel] [--encoding enc] \
hivebestand [regbestand]

Voeg "regfile" (een tekstbestand in regedit-formaat) samen in de component "hivefile". Als "regbestand"
wordt weggelaten, dan leest het programma de standaardinvoer. (Je mag er ook meerdere geven
invoerbestanden).

"--prefix" specificeert het Windows-registervoorvoegsel. Het is vrijwel altijd nodig
gebruik dit bij het omgaan met echte hive-bestanden.

"--encoding" specificeert de codering voor ongemarkeerde tekenreeksen in de invoer. Het is standaard ingesteld
"UTF-16LE" die zou moeten werken voor recente versies van Windows. Een andere mogelijkheid is
om "ASCII" te gebruiken.

--exporteren
hivexregedit --export [--prefix prefix] hivefile-sleutel > regfile

"key" is een pad binnen de component "hivefile". (De sleutel mag geen voorvoegsel bevatten
en moet worden geciteerd om backslashes tegen de shell te verdedigen). De sleutel wordt geëxporteerd,
recursief, naar standaarduitvoer in het tekstuele regedit-formaat.

"--prefix" specificeert het Windows-registervoorvoegsel. Het is vrijwel altijd nodig
gebruik dit bij het omgaan met echte hive-bestanden.

--voorvoegsel voorvoegsel
Hive-bestanden en Windows-registersleutelnamen zijn indirect gerelateerd. Binnen bijvoorbeeld
de softwarecomponent, worden alle sleutels opgeslagen relatief aan "HKEY_LOCAL_MACHINE\SOFTWARE".
Dus "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft" wordt in het componentbestand weergegeven als "\Microsoft".

Het hive-formaat zelf slaat dit voorvoegsel niet op, dus u moet het opgeven op basis van
kennis van buitenaf. (virt-win-reg(1 weet dit onder andere al).

Meestal is het voldoende om de parameter "--prefix
'HKEY_LOCAL_MACHINE\SOFTWARE'" of iets dergelijks bij het samenvoegen en exporteren.

--codering UTF-16LE|ASCII
Bij het samenvoegen (alleen), moet u mogelijk de codering specificeren voor tekenreeksen die moeten worden gebruikt in
het bijenbestand. Dit wordt in detail uitgelegd in "ENCODEREN VAN STRINGS" in
Gewonnen::Hivex::Regedit(3).

De standaard is om UTF-16LE te gebruiken, wat zou moeten werken met recente versies van Windows.

--onveilige-afdrukbare-strings
Ga er bij het (alleen) exporteren van uit dat strings UTF-16LE zijn en druk ze in plaats daarvan af als strings
van hex-reeksen. Verwijder het laatste nulcodepunt van strings, indien aanwezig.

Dit is onveilig en behoudt niet de betrouwbaarheid van de snaren in de oorspronkelijke component
verschillende redenen:

· Gaat ervan uit dat de originele codering UTF-16LE is. ASCII-strings en strings in other
coderingen worden beschadigd door deze transformatie.

· Gaat ervan uit dat alles met type 1 of 2 echt een string is en dat
al het andere is geen string, maar het typeveld in echte bijenkorven is niet betrouwbaar.

· Verliest informatie over of een nulcodepunt de tekenreeks in de component volgde
of niet.

Dit gebeurt allemaal omdat de component zelf geen informatie bevat over hoe strings zijn
gecodeerd (zie "STRINGS CODEREN" in Gewonnen::Hivex::Regedit(3)).

U moet deze optie alleen gebruiken voor het snel hacken en debuggen van de inhoud van de component.
en nooit gebruik het als de uitvoer naar een ander programma wordt doorgegeven of erin wordt opgeslagen
nog een bijenkorf.

Gebruik hivexregedit online met behulp van onworks.net-services