Question 1

Aslında hangi dosyayı açmam gerekiyor?

Accepted Answer

Aradığınıza bağlı, çünkü kayıt defteri tek bir veritabanı değil, farklı yerlerde duran birkaç hive dosyasıdır. Bir kullanıcıya ait her şey — ayarlar, son açılan belgeler, hesabı altındaki yüklü program izleri — o kullanıcının profil klasöründeki NTUSER.DAT içindedir; yanındaki UsrClass.dat ise dosya ilişkilendirmelerini ve kabuk durumunu tutar. Sistem genelindeki her şey Windows sistem klasöründeki SOFTWARE ve SYSTEM içindedir: yüklü yazılımlar, hizmetler, sürücüler, ağ geçmişi. Elinizde bir disk görüntüsü ya da yedek varsa ve bir kişinin yaptıklarını arıyorsanız NTUSER.DAT’ı, makinenin kendisine bakıyorsanız SYSTEM ve SOFTWARE’i açın.

Question 2

Silinmiş anahtarlar gerçekten kurtarılabilir mi?

Accepted Answer

Alan yeniden kullanılmadığı sürece okunabilirler. Silme, bir hücreyi “boş” olarak işaretler ve kaydı üst anahtarından ayırır, ancak kaydın kendisi yerinde kalır. Bu yüzden bulgular boş alandan geldiği belirtilerek etiketlenir: bazıları yarı yarıya üzerine yazılmış olabilir.

Question 3

“Dirty hive” ne demek?

Accepted Answer

Başlıkta biri işlemden önce, biri sonra yazılan iki sıra numarası bulunur. Farklıysa dosya yazma sırasında kopyalanmıştır ve kalan değişiklikler yanındaki .LOG1 ve .LOG2 dosyalarındadır. Veri sağlamdır; dosya yalnızca günlükten biraz daha eskidir.

Question 4

Değişiklikleri hive’a geri yazabilir miyim?

Accepted Answer

Hayır — dosya yalnızca okunur ve bu eksik bir özellik değil, bilinçli bir tercih. Burada baktığınız bir hive neredeyse her zaman bir kopyadır: disk görüntüsünden çıkarılmış, yedekten alınmış ya da artık açılmayan bir makineden kurtarılmış. Böyle bir kopyaya yazmak, o sistemde neler olduğuna dair elinizdeki tek sağlam kaydı riske atar ve gerçekten ihtiyacınız olan şey neredeyse hiçbir zaman bu değildir — bir değeri, bir kurulum tarihini, takılmış bir cihazı görmeniz gerekir. Canlı bir sistemde değişiklik yapılacaksa doğru araç o sistemdeki kayıt defteri düzenleyicisidir; buradaki okuma ise hangi anahtara gitmeniz gerektiğini söyler.

Question 5

Hive’ımın “dirty” olduğunu söylüyor. Bu ne anlama geliyor?

Accepted Answer

Dosyanın, Windows ona yazarken kopyalandığı anlamına gelir. Bir hive başlığında eşleşmesi gereken iki sıra numarası bulunur; Windows yazmadan önce birini, sonra diğerini artırır. Farklılarsa kopya arada bir ana denk gelmiştir ve son işlem dosyaya tam olarak girmemiştir. Windows bunu hive’ın yanındaki işlem günlüklerinden kendisi onarır. Burada ise durum gizlenmeden olduğu gibi bildirilir, çünkü bilmeniz gereken bir şeyi anlatır: veri okunabilir, ancak kopya alınmadan önceki en son değişiklikler eksik ya da yarım uygulanmış olabilir.

Question 6

“Silinmiş anahtarlar” nedir ve neden bu kadar çok?

Accepted Answer

Hive içinde artık hiçbir şeyin işaret etmediği kayıtlardır. Windows’ta bir anahtarı silmek bağlantısını koparır ve alanını boş olarak işaretler — baytları silmez ve alan yalnızca başka bir şeyin tam olarak o yere ihtiyacı olduğunda yeniden kullanılır. Yıllardır kullanılan bir makinenin hive’ında bunlardan yüzlercesi bulunur: kaldırılan programlar, bir kez takılan cihazlar, değiştirilip geri alınan ayarlar. Canlı ağaçtan ayrı gösterilirler, çünkü artık bağlı olmayan bir değer bir şeyin var olduğunu değil, bir şeyin olduğunu söyler; ikisini karıştırmak bir hive okumasının yanlış gitmesinin yoludur.

Silinmiş anahtar kurtarmalı Windows kayıt defteri hive görüntüleyici

Nasıl kullanılır

Bir hive dosyası açın, içinde kalan silinmiş anahtarları bulun

Silinmiş kayıtlar

Bu aracı nasıl değerlendiriyorsunuz?

Yorumlar