Чи є спосіб переглянути всі файли та записи реєстру, які встановлює програма?

Я намагаюся з’ясувати, чи є спосіб в основному встановити додаток у пісочницю, щоб я міг легко бачити всі створені ним файли та всі записи реєстру, які він додав, не шукаючи комп'ютер, який шукає файли.

Він не повинен бути пісочницею, доки він розповість мені все, що зробив інсталятор. Звичайно, там має бути щось, що робить це. Я знаю, що мій A / V підказує мені, коли він отримує доступ до певних файлів і папок, але я шукаю більш точний підхід, який записує в журнал все, щоб я міг його проаналізувати після.

1. Завантажте, розпакуйте та запустіть Process Monitor .

2. Запустіть інсталятор. Я використовую FileZilla для цього прикладу.

   

3. Поки інсталятор працює, ви можете використовувати перехрестя та перетягнути його у вікно інсталятора. Це створить фільтр, в результаті якого в "Моніторі процесів" відображаються лише події, пов'язані з цим процесом.

   

   Ви також можете зачекати, коли інсталятор закінчить і виберіть його із записаних подій самостійно. Ви можете клацнути правою кнопкою миші ім'я процесу та легко створити фільтр Включити .

4. Тепер ви матимете журнал кожної файлової системи чи доступу до реєстру інсталятора. Тепер ви можете створити додаткові фільтри для подальшого аналізу даних або використовувати функції, доступні в меню Інструменти .

   Особливо в цьому контексті можуть бути цікаві Зведення файлів та Реєстр реєстрів .

   

Тим НЕ менше, зверніть увагу , що при фільтрації подій тільки для процесу конкретного, ви могли б пропустити операції, які не викликані безпосередньо сам процес установки. Інсталятор може викликати деякі API Windows, що опосередковано викликає зміну значень реєстру.

Так само, інсталятор може просто породити дочірній процес, який вносить зміни файлів та / або реєстру. Цей дочірній процес також не буде видно, коли ви фільтруєте лише батьківський процес.

Коли процес породжує дочірній процес, це вказуватиметься на операції Створення процесу в Моніторі процесів.

Я думаю, ви можете шукати щось на кшталт Total Uninstall

Це програмне забезпечення потрібно встановити до програми, яку ви хочете перевірити.

Він веде журнал усіх записів реєстру та створених та змінених файлів.

Він надає графічний інтерфейс для навігації щойно встановлених та контрольованих програм.

1. Експортуйте весь реєстр перед встановленням
2. Експортуйте весь реєстр після встановлення

Використовуйте файл diff, щоб отримати відмінності між двома регістрами.

http://support.microsoft.com/kb/171780

Ви можете завантажити програмне забезпечення, щоб зробити це за вас (див. Нижче)

http://www.aplusfreeware.com/categories/util/registry.html

Ще одна річ, яку ви можете зробити, це завантажити "Монітор процесів Sysinternals". Потім ви можете відфільтрувати показані операції, виконані інсталятором. Ви навіть можете відфільтрувати будь-які операції, які ви хочете бачити (RegWrite, RegQueryValue тощо) та зберегти зйомку для подальшого перегляду.

Більш зручним для користувачів способом, ніж ProcessMonitor, є використання фактичної програми моніторингу встановлення. Я завжди використовував і віддав перевагу InCtrl5 PCMagazine . Раніше це було безкоштовно, і хоча вони почали стягувати плату за свої комунальні послуги кілька років тому, ви, можливо, все ще зможете знайти копію у того, хто її завантажив, поки вона була безкоштовною та мала безкоштовну ліцензію. Вони також оновили його до InCtrlX, що, мабуть, краще, але не безкоштовно.

Ще один, який мені подобається, - це ZSoft Uninstaller . З десятків таких програм, які я перевірив, це був наступний найкращий InCtrl5. Це також безкоштовно.

Ці програми працюють, роблячи знімок реєстру та файлової системи до та після встановлення, потім роблячи порівняння, щоб з’ясувати, що змінилося (додано, видалено, змінено). На відміну від такої програми, як ProcessMonitor, яка просто відстежує доступ до системи, ці фільтри за фактичними змінами в системі та кращі навіть фільтрують помилкові позитиви, такі як тимчасові файли та зміни, ініційовані ОС.

Ви можете використовувати VMware ThinApp для встановлення програми в пісочному ящику. Він буде записувати та віртуалізувати вашу програму в окремій папці, де ви можете відстежувати весь її вміст. Ось посилання:

http://www.vmware.com/products/thinapp/