Активация Windows XP без подключения к интернету
Спустя более 21 года после своего появления операционная система Microsoft Windows XP отказывается умирать, хотя сами разработчики её давно похоронили. Благодаря сообществу энтузиастов ОС получила новую жизнь.
Активация новых установок XP
В блоге Tinyapps появилась новость о том, что алгоритм, который Microsoft использует для проверки ключей в Windows XP, был взломан и переделан. Теперь можно генерировать валидные коды активации для Windows XP без подключения к интернету.
Проблема безопасности
Windows XP, выпущенная в 2001 году, обладает слабым уровнем безопасности по современным меркам. Настоятельно не рекомендуется использовать её, особенно на компьютерах, подключенных к интернету.
Важность активации
Microsoft отключила серверы активации Windows XP, поэтому даже если установить чистую копию, активировать её через интернет будет невозможно.
Решение проблемы
Для выхода в интернет с XP можно попробовать браузеры Seamonkey версии 2.49.5 и Opera версии 36. В качестве антивируса подойдет Avast.
Полезные ресурсы
Сайт tinyapps.org предлагает минималистичные приложения для Windows XP. Существует активное сообщество поклонников XP, готовых помочь советами.
Запуск в виртуальной машине
Для безопасности рекомендуется запускать Windows XP в виртуальной машине, изолированной от интернета.
Заключение
При использовании Windows XP важно соблюдать меры безопасности, обращаться к сообществу помощи, и рассматривать варианты запуска в виртуальной среде.
Разбор артефактов в Windows Registry
Например, вот в этом ключе реестра хранится список файлов, сгруппированных по расширению, и список каталогов, с которыми взаимодействовал пользователь:
При анализе записи обращай внимание на дату открытия и имя файла.
А вот этот ключик хранит информацию о запускаемых командах при помощи утилиты Windows Run (горячая клавиша Windows-R):
И наконец, ключ, содержащий информацию о файлах, к которым обращался пользователь с помощью диалогового окна открытия или сохранения файла:
Содержимое ключа RecentDocs:
Список файлов и каталогов, с которыми взаимодействовал пользователь, ты найдешь по такому пути:
Отсортировав файлы по временной метке, можно восстановить последовательность запуска приложений и открытия файлов. При анализе этого артефакта обращай внимание на файлы с расширениями .lnk, которые могут содержать команды запуска сценариев PowerShell или CMD. Для анализа файлов c расширением .lnk можно воспользоваться инструментом LECmd.
Артефакт Shellbags
Shellbags — это набор ключей реестра, которые содержат сведения о просматриваемых пользователем каталогах. Начиная с Windows 7, этот артефакт хранится в кусте реестра.
Для удобства анализа можно воспользоваться утилитой ShellBagsExplorer, в которую необходимо загрузить куст реестра UsrClass.dat.
Список каталогов, хранимый в Shellbags:
Артефакт SRUM
Эта легкая для запоминания аббревиатура означает System Resource Utilization Monitor. С восьмой версии в Windows появилась возможность отслеживать используемые приложениями ресурсы. Этот артефакт расположен в файле C:WindowsSystem32sruSRUDB.dat. Информация записывается в базу каждый час и при выключении компьютера.
В базе хранятся следующие артефакты: сетевые подключения, использование сети, энергопотребление, данные push-уведомлений, а также использование ресурсов приложениями. Анализ активности сети и сетевых подключений помогает определить, когда компьютер был подключен к интернету и каким спобом, а также количество полученных и отправленных приложением данных в байтах.
Инструменты для анализа:
Данные браузеров
Браузерны – самая главная программа на компьютере, и многие действия пользователя совершает именно в ней. Здесь же найдутся и важные для раследования артефакты. Например, в ходе фишинговых атак злоумышленники рассылают сообщения, содержащие либо ссылку на вредоносный файл, либо сам файл. Информация о загрузке пользователем такого файла попадет в журнал браузера.
Профиль браузера Firefox:
В файле places.sqlite ты найдешь две полезные таблицы: moz__places содержит историю браузера, moz__annos — информацию о загрузках. А в файле cookies.sqlite лежат все сохраненные куки.
Восстановление доступа к истории браузера и файлов в Windows
Историю посещения страниц и загрузок можно найти в файле History, она хранится в базе SQLite, в таблицах urls и downloads. Файлы кеша лежат в каталоге CacheDefault Cache. Расширения браузера хранятся в каталоге Extensions.
Путь к профилю Opera:
Формат истории и загрузок тот же, что и у Google Chrome. То же самое и у Yandex Browser.
История посещений Internet Explorer:
Для ее анализа можно воспользоваться утилитой IEHistoryView.
Информация о загрузках в IE:
Для анализа пригодится тулза IECacheView.
Артефакты Microsoft Edge:
Поскольку Edge – это втайне Chromium, анализ истории, загрузок и кеша будет выглядеть так же, как в Chrome.
Это происходит потому, что у группы Администраторы нет прав на запись в этот раздел реестра или папку. Причин для этого может быть две:
- Файлы или разделы реестра были изменены некорректно.
- Права доступа к файлам или разделам реестра были намеренно изменены.
Далее я покажу, как внести изменения в реестр при недостатке прав. Я также объясню, как восстановить исходные разрешения, и почему это нужно делать.
👉 Инструкции в этой статье одинаково применимы к разделам реестра и папкам файловой системы. Реестр используется в качестве примера.
Как делать грамотно и быстро
Быстрее всего запускать редактор реестра или командную строку с правами системы или TrustedInstaller и вносить изменения. Тогда не надо будет тратить время на смену прав и их восстановление.
Внесение изменений в реестр от имени учетной записи Система
Если владельцем раздела реестра является специальная учетная запись Система, существует способ внести изменения в раздел, не изменяя владельца и разрешений. Для этого используется утилита PsExec, входящая в набор утилит Марка Руссиновича PsTools. Суть способа сводится к запуску редактора реестра от имени системы.
Внесение изменений в реестр от имени учетной записи TrustedInstaller
Вы можете использовать скрипт PowerShell, т.е. обойтись без сторонних средств, коих великое множество:
В Windows 8 слегка изменился графический интерфейс смены владельца, что стало непреодолимым препятствием для ряда читателей, судя по комментариям. Мне претит, когда на одной странице дублируются практически одинаковые инструкции, но другие варианты еще хуже. Поэтому выбирайте инструкции для своей ОС. Я полагаю, что в редакторе реестра у вас уже открыт нужный раздел реестра.
Получение полных прав и смена владельца
Теперь вы можете вносить изменения в разделы реестра, владельцем которых является учетная запись Система.
Восстановление доступа к разделу реестра в Windows
По ходу дела вы увидите, кто является владельцем раздела реестра. Если это Система или TrustedInstaller, можно воспользоваться подходящей утилитой ↓
Windows 8 и новее
- Если флажок недоступен или вы видите сообщение об ошибке, переходите к пункту 3.
- Установите флажок Полный доступ, как описано в пункте 2.
Windows 7
Теперь ничто не препятствует записи в этот раздел реестра. Однако я рекомендую восстановить права, когда вы закончите редактирование раздела.
Возвращение исходных прав и восстановление владельца
После внесения изменений в реестр я советую вернуть исходные права и восстановить владельца, чтобы не снижать безопасность системы. Кроме того, на форум не раз обращались за помощью люди, у которых правильная работа системы нарушалась после того, как у системной учетной записи TrustedInstaller было отобрано владение.
История сэра Брайбанта
Едва мы закончили пятичасовой чай, как внизу раздался шум, и спустя минуту в дверях появилась миссис Хадсон. К вам посетители, мистер Холмс, — объявила она, подняв глаза к потолку. В комнату вошли двое мужчин, в одном из которых я с удивлением узнал сэра Брайбанта, члена нижней палаты парламента, известного своей непримиримой борьбой с коррупцией.
Пожав руку Холмсу и сдержанно кивнув мне, наш гость опустился в кресло. Его помощник, повинуясь невидимому жесту, достал из сумки ноутбук и положил на стол.
— Расскажите, что случилось.— Система не загружается. Я точно не знаю, но он ставил какие-то игры, драйвера, черт знает что!
Холмс провел пальцем по крышке ноутбука и перевел взгляд на посетителя:
— Сэр, вы осведомлены о стоимости моих услуг?— Я понял вас, мистер Холмс, — кивнул гость. Но дело не в деньгах. Сегодня мой внук летит на отдых в Ниццу со своей мамашей. Без этого ноутбука он сведет ее с ума, а она – меня. Это я вам гарантирую!— И во сколько вылет?
Наш гость посмотрел на часы и поднялся с кресла.Они заедут сюда по дороге в аэропорт, примерно через час, — он протянул руку Холмсу и с выражением глубокого уважения произнес, – Я очень рассчитываю на вас, детектив!
Холмс не колеблясь пожал протянутую руку так, что сэр Брайбант заметно поморщился.
Холмс поднял крышку ноутбука и включил питание.
Сбой шрифтов и черный экран
Система начала нормально загружаться, и мы с удивлением переглянулись. Однако на экране приветствия нас ждал сюрприз, который выглядел примерно так:
— Ватсон, что скажете теперь?— Очевидна проблема со шрифтами, наверное, после установки игры. А вот почему появляется черный экран, пока трудно сказать. Но думаю, что надо вернуть параметры реестра к рабочему состоянию, а там видно будет.— И какой ход вы хотите сделать первым?— Нужно попробовать откатиться к последней удачной конфигурации.
Холмс кивнул и жестом пригласил меня заняться делом.
Загрузка в последнюю удачную конфигурацию
Я перезапустил систему, нажал F8 при загрузке и оказался в сервисном меню.
Однако загрузка в последнюю удачную конфигурацию никаких дивидендов не принесла – мы увидели ту же картину.
«Этот способ действительно хорош, когда система не загружается после установки нового драйвера или устройства, либо изменениях в конфигурации служб», — философски заметил Холмс и потянулся за трубкой.
Я бы с удовольствием выслушал его рассказ о последней удачной конфигурации, но сейчас у нас не было времени!
— Теперь попробуем откатиться на точку восстановления системы?— Да, это должно решить такую проблему.
Возврат к точке восстановления системы из Windows RE
Но Холмс внезапно остановил меня:— Ватсон, для входа в среду восстановления вам понадобится пароль администратора. Вы его знаете?
Он открыл ящик стола, пошарил в нем и протянул мне легкую белую флэшку Transcend. «При загрузке в Windows RE с установочного диска или флэшки пароль не требуется», — подмигнул детектив.
Я загрузился в Windows RE, выбрал «Восстановление системы», но и там нас ждало разочарование – точек восстановления не оказалось!
— А вы знаете, Ватсон, что по статистике, люди с отключенным восстановлением системы в 7 раз чаще обращаются за помощью, чем те, у кого оно включено?
Холмс всегда поражал меня энциклопедическими знаниями в самых необычных областях, но сейчас было не до этого.
— Что будем дальше делать? Осталось всего полчаса!— Это элементарно, Ватсон! У нас уже открыто все, что нужно для решения проблемы!
Восстановление разделов реестра из резервной копии
Не покидая среду восстановления, Холмс открыл командную строку. Он быстро набрал в ней notepad и нажал Enter.
В окне блокнота он нажал Ctrl + O, ловко определился с буквой системного диска и перешел в папку WindowsSystem32Config. Затем Холмс ввел в поле «Имя файла» звездочку и нажал Enter, чтобы отобразить все файлы в папке.
«Файлы без расширений — это кусты реестра», — пояснил он, — «А в папке RegBack – их резервные копии!»
Холмс поочередно переименовал файлы SYSTEM и SOFTWARE, нажимая клавишу F2 и добавляя расширение .bad. «Думаю, этих двух кустов реестра, отвечающих за систему и программы, нам хватит для восстановления нормальной работы Windows», — прокомментировал детектив.
Затем он сочетаниями клавиш Ctrl + C и Ctrl + V скопировал резервные копии этих файлов из папки RegBack в папку config.
«Вот и все! Давайте попробуем загрузиться, Ватсон!», – уверенно провозгласил Холмс.
— Ватсон, надо бы проверить, нормально ли работает профиль этого мега-админа. Сможете сбросить пароль администратора?— Без проблем, Холмс!
Как Windows создает резервную копию реестра
Через пару минут я успешно вошел в учетную запись, что давало нам основание считать дело закрытым.
— Все отлично работает, Холмс! Но откуда взялись файлы в папке RegBack? Ведь восстановление системы было отключено.— Это элементарно, Ватсон! Планировщик заданий отвечает не только за создание точек восстановления по расписанию, но и делает резервную копию разделов реестра каждые 10 дней.
Увеличить рисунокЯ не смог удержаться от вопроса, как бы мы решали проблему при отключенном планировщике или этом задании.
«Это была бы другая история, друг мой», — пожал плечами детектив. «Возможно, в этом случае сэру Брайбанту пришлось бы лечь в психиатрическую клинику, как он и гарантировал», — с усмешкой добавил он и закрыл крышку ноутбука.
Холмс отключил флэшку и небрежно бросил ее в ящик стола.
«В Windows 7 заложены хорошие инструменты восстановления, не правда ли, Ватсон? Но все-таки этот инструмент мне намного приятнее держать в руках!», — подмигнул он, бережно доставая из футляра скрипку.
После выхода первой истории о Шерлоке Холмсе вы просили продолжения. Поэтому я решил облечь в эту форму рассказ о том, как восстановить реестр, если система не загружается, выделив три способа:
Возможно, кое-кто предпочел бы видеть в таком случае обычные сухие пошаговые инструкции, без лирики. Из ваших комментариев я надеюсь узнать, в правильном ли направлении я двигаюсь 🙂
Важно! Описанная в рассказе функция резервного копирования реестра перестала работать в Windows 10 начиная с версии 1803. Ее можно включить вручную, но я предпочитаю и рекомендую более надежный путь↓
Обходной путь — создание запланированного задания для копирования в заданную папку. В командной строке от имени администратора эта команда создает задание MyRegIdleBackup, которое еженедельно копирует кусты реестра в папку C:MyRegBack (можете заменить папку на любую другую в коде — OneDrive как вариант, но не внутри Windows, иначе после обновления до новой версии папку придется пересоздавать вручную).
md C:MyRegBack & schtasks /create /ru system /sc weekly /st 12:00:00 /tn "MyRegIdleBackup" /tr "cmd /c del /f /q C:MyRegBack & cd /d C:MyRegBack & reg save HKLMSAM SAM & reg save HKLMSECURITY SECURITY & reg save HKLMSOFTWARE SOFTWARE & reg save HKLMSYSTEM SYSTEM & reg save HKU.DEFAULT DEFAULT"
Шесть способов узнать версию, сборку и разрядность Windows, которая установлена на вашем ПК. Этот вопрос очень часто задают многие пользователи по электронной почте и в комментариях, поэтому сегодня мы решили опубликовать руководство о том, как узнать информацию об установленной версии операционной системы «Windows» на любом компьютере.
Последнее время очень часто можно приобрести персональный компьютер или ноутбук с уже предустановленной операционной системой «Windows». Это удобно, так как система полностью настроена и проверена на отсутствие ошибок. Но можно приобрести компьютер и без установленной операционной системы. Тогда пользователю приходится дополнительно обращаться в специальную службу для установки операционной системы или пользоваться услугами своих друзей и знакомых. При этом большинство пользователей, использующих операционную систему «Windows», абсолютно не задумываются о ее параметрах и характеристиках. Но когда появляется необходимость установки дополнительного программного обеспечения или приложений, то возникает вопрос совместимости таких программ и операционной системы «Windows», установленной у пользователя. Вот тогда у пользователя появляются разные вопросы о характеристиках операционной системы, установленной на его компьютере или ноутбуке.
В этом руководстве мы постарались ответить на такие вопросы об операционной системе:
Существует много способов получить ответы на эти вопросы об операционной системе «Windows», установленной на вашем компьютере. Мы покажем разные методы, подходящие для различных операционных систем «Windows», вы сможете опробовать их все и выбрать наиболее подходящие для вас.
Использование команды «winver»
Этот метод очень простой и позволяют быстро узнать информацию об установленной версии операционной системы «Windows» с помощью простой команды «winver». Это универсальный метод, и он подходит для любой версии «Windows».
Нажмите вместе сочетание клавиш «Windows + R», чтобы открыть диалоговое окно «Выполнить». В поле командной строки введите «winver» и нажмите кнопку «ОК» или клавишу «Enter» на клавиатуре для выполнения команды.
Команда запустит диалоговое окно «Windows: сведения».
В окне отражается основная информация об установленной операционной системе «Windows», показана ее версия, номер сборки системы, пакет обновления и т.д. Вы также можете узнать, на какое имя пользователя или какую организацию она зарегистрирована.
Использование окна «Свойства»
Во всех версиях «Windows» по умолчанию включен стандартный набор приложений, в котором обязательно присутствует приложение «Система». Оно содержит большой массив полезной и подробной информации о версии установленной операционной системы «Windows», и ее всегда можно легко просмотреть.
Вы можете открыть окно «Система» разными способами, но мы покажем только два из них.
В окне «Система» отражена вся основная информация. Вы сможете увидеть, какая версия «Windows» («XP», «Vista», «7», «8 / 8.1» или «10») установлена на вашем компьютере, а также определить выпуск операционной системы «Windows» («Home», «Professional», «Home Basic», «Home Premium» и т.д.), проверить, установлен ли пакет обновления или нет.
В пункте «Тип системы» вы сможете определить разрядность операционной системы «Windows» (32-разрядная (x86) или 64-разрядная (x64)), установленной у вас на компьютере.
Так же в перечень основных параметров компьютера, указанных в окне «Система», входит информация о процессоре, установленной памяти (ОЗУ), имени компьютера, идентификаторе продукта и т.д. Здесь вы легко сможете найти всю необходимую информацию о вашей операционной системе «Windows».
Использование приложения «Параметры» в «Windows 10»
Если вы используете операционную систему «Windows 10», вы можете найти информацию об установленной версии «Windows», ее издании, обновлении и т.д. с помощью приложения «Параметры».
Использование приложения «Редактор реестра»
Если вы являетесь уверенным пользователем, то вы можете воспользоваться приложением «Редактор реестра», чтобы узнать информацию об установленной версии «Windows». Однако важно помнить, что любые действия с реестром необходимо выполнять аккуратно и с предельной осторожностью. Любые неверные изменения реестра могут вызвать возникновение ошибок или сбой системы, что повлечет за собой невозможность запуска отдельных приложений или крах операционной системы в целом. Перед началом работы с реестром обязательно создайте его рабочую копию. В ленте главного меню окна «Редактор реестра» нажмите вкладку «Файл» и выберите раздел «Экспорт». Выберите место для хранения копии реестра, озаглавьте файл и нажмите кнопку «Сохранить» для завершения.
Чтобы просмотреть информацию об операционной системе «Windows» выполните следующие действия:
Использование команды «systeminfo»
Вы также можете получить подробную информацию об установленной операционной системе «Windows» и параметрах вашего персонального компьютера с помощью команды – «systeminfo».
Использование команды WMIC
Вы также можете использовать в окне командной строки команду WMIC (Windows Management Instrumentation Command-line) для получения краткой информации о вашей системе и установленной версии «Windows».
Выводы
Мы рассмотрели основные артефакты Windows, которые специалист должен изучить при расследовании инцидента, а хакер, наоборот, может попытаться скрыть. По пути мы собрали инструментарий для анализа. Используя эти техники, ты сможешь восстановить ход событий, описать атаку по матрице MITRE ATT&CK и сделать какие‑то выводы о злоумышленнике.