Hogyan találja meg a „Utolsó módosítás” dátumát a Windows szolgáltatásaiban?

Ha van egy kompromisszumú Windows rendszer, és elemezni szeretné, hogy a szolgáltatásokat telepítették vagy módosították, akkor hogyan csinálod ezt? A mai SuperUser Q&A postai válaszok egy furcsa olvasó kérdésére vonatkoznak.

A mai Kérdések és válaszok munkamenet a Jóvagyon - a Stack Exchange alosztályának, a közösség által vezérelt Q&A webhelyek csoportjának köszönhetően..

Jegyzettömb screenshot a Flyk (SuperUser) jóvoltából.

A kérdés

A SuperUser olvasó Lucas Kauffman tudni akarja, hogyan találja meg a Létrehozás dátuma (vagy Utolsó módosítás dátuma) a Windows szolgáltatásaihoz:

Ha van egy kompromittált operációs rendszere, amelyet az újonnan telepített szolgáltatásokhoz szeretne elemezni, vagy amikor a szolgáltatásokat telepítették, hogyan csinálod ezt? Hol találom meg a Létrehozás dátuma egy adott szolgáltatáshoz a Windows rendszerleíró adatbázisában?

Hogyan találja meg a Létrehozás dátuma vagy Utolsó módosítás dátuma a Windows szolgáltatásaihoz?

A válasz

A SuperUser közreműködői, Flyk és Andrew Medico válaszolnak számunkra. Először fel, Flyk:

Nincs mód annak meghatározására Létrehozás dátuma egy adott Windows-szolgáltatás esetében, mivel mind a szolgáltatásalkalmazás, mind a Windows-nyilvántartás nem tárolja a létrehozáshoz kapcsolódó dátumokat.

Van azonban egy Utolsó módosítás dátuma amely elrejtve van (még a Windows rendszerleíróadatbázis-szerkesztőben is), de a RegQueryInfoKey segítségével érhető el. Mivel az összes Windows-szolgáltatást tárolja a rendszerleíró adatbázisban, ellenőrizheti a Utolsó módosítás dátuma a kérdéses szolgáltatáshoz kapcsolódó rendszerleíró kulcsok ellen HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services.

Alternatív megoldásként, ha a rendszerleíró kulcsokat szövegfájlként exportálja, akkor az Utolsó módosítás dátuma minden kulcshoz a szövegfájlban van megadva.

Végül egy megoldás, amely a PowerShell-et használja a Utolsó módosítás dátuma már megvitatták a Stack Overflow-t.

Ezt követi Andrew Medico válasza:

A Vista-tól kezdve a szolgáltatás létrehozása naplózásra kerül Rendszereseménynapló alatt Szolgáltatásvezérlő-kezelő esemény azonosítója 7045.

Például a következő parancs:

A következő eseménynaplóbejegyzést hozta létre:

Van valami, amit hozzá kell adni a magyarázathoz? Kikapcsolja a megjegyzéseket. Szeretne további válaszokat olvasni más tech-savvy Stack Exchange felhasználóktól? Nézze meg a teljes beszélgetés szálát itt.