Hklm software microsoft windows currentversion policies explorer

Уровень сложностиСредний

Время на прочтение6 мин

Количество просмотров17K

Основной задачей, которую необходимо решить вредоносному файлу сразу после запуска является закрепление в системе, то есть обеспечение возможно постоянной работы данного процесса в системе. То есть, злоумышленнику необходимо, чтобы процесс, с помощью которого он может получить доступ в систему (троян, бэкдор и т. д.) запускался бы автоматически при загрузке системы и работал во время всего сеанса работы системы. Существует несколько методов закрепиться в системе. В этой статье мы рассмотрим наиболее распространенные способы закрепления в ОС Windows, а также посмотрим, как некоторые из этих техник выглядят в отладчике. Будем считать, что для запуска нужного процесса злоумышленнику так или иначе необходимо запустить выполнимый файл.

Ветка Run

Начнем с наиболее известного места, где можно прописать автоматический запуск приложения при старте системы — реестра Windows. И прежде всего приложения, желающие стартовать вместе с ОС прописывают себя в ветки

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Для первого варианта нам необходимы права локального администратора. Для того, чтобы прописать автоматический запуск файла, необходимо добавить новое значение в ветку Run.

Однако, важно понимать, что манипуляции с данными ветками реестра также отслеживают и средства защиты. Так антивирус будет очень внимательно следить за тем, какие приложения собираются прописать свои файлы в эти ветки реестра. И попытка неизвестного ранее приложения прописаться в ветку Run может привести к срабатыванию антивируса.

Также, если вам необходимо один раз выполнить какой-либо файл. Например, вам необходимо прописать в системе сервис, то можно воспользоваться ключом RunOnce.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

Если мы хотим выполнить файл один раз для конкретного пользователя, то необходимо прописать файл в ветке:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

Однако, этими, наиболее известными ветками реестра возможности спрятаться в автозагрузку не ограничиваются. Так, за автозагрузку в профиле текущего пользователя отвечают ветки реестра показанные ниже.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Shared Tools\Msinfo

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Shared Tools\Msinfo

Посмотрим, как код, правящий реестр выглядит в отладчике.

Конечно, любой здравомыслящий вредонос постарается максимально скрыть от отладки как разделы памяти в которых указаны ветки реестра и записываемые значения, так и сами вызовы функций для работы с реестром. Но в представленном на скриншоте примере мы видим обращения к реестру: RegOpenKeyEx, RegCreateKey, RegCloseKey. По вызовам этих функций можно понять, что приложение в принципе работает с реестром. В случае, если вносятся правки в представленные выше ветки, то вероятнее всего мы имеем дело с вредоносом.

Сервисы в реестре

Еще одним способом поселиться в автозагрузку является использование системных служб – сервисов. Сервис (служба) – это приложение, автоматически исполняемое системой при запуске операционной системы Windows и выполняющиеся вне зависимости от статуса пользователя.

 Существует несколько режимов для служб:

• запрещён к запуску;

• ручной запуск (по запросу);

• автоматический запуск при загрузке компьютера;

• автоматический (отложенный) запуск;

• обязательная служба/драйвер (автоматический запуск и невозможность (для пользователя) остановить службу).

Соответственно, для того, чтобы осуществить автоматический запуск какого-либо выполнимого файла, нам необходимо прописать его как сервис. И здесь кроются некоторые сложности. Дело в том, что сервис – это, не совсем обычный выполнимый файл. Для его запуска недостаточно просто создать exe файл и запустить его. Вместо этого нам необходимо зарегистрировать сервис в системе и только потом его можно запускать.

На скриншоте ниже представлен фрагмент кода, в котором формируется набор значений в стеке (в том числе имя выполняемого файла и самого сервиса) и затем все это передается функции CreateService для создания сервиса.

После того, как сервис зарегистрирован в системе его можно запустить с помощью вызова функции OpenService.

Помимо использования функций ОС предназначенных непосредственно для работы с сервисами, для регистрации и запуска сервиса можно воспользоваться командой sc. В примере ниже мы создаем процесс, который запускает команду sc start NewServ. CreateProcess не единственная функция для запуска процессов. В одной из предыдущих статей по реверсингу мы использовали функцию WinExec для запуска калькулятора при реализации переполнения буфера.

В общем, не стоит забывать про такой простой способ работы с сервисами, как консольные команды.

И еще с сервисами можно работать через реестр. Для этого предназначена ветка

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\

В ней находятся разделы, описывающие работу каждого из сервисов, зарегистрированных в операционной системе.

На скриншоте показаны параметры сервиса DHCP. Как видно, в этой ветке имеются параметры, отвечающие за параметры запуска сервиса, аккаунт, от которого он запускается и собственно сам путь к выполнимому файлу. Таким образом, работу с сервисами можно организовать с помощью манипуляций с реестром.

Скрытый отладчик

Представленные выше способы регистрации в автозагрузке в большей или меньшей степени видны пользователю системы. Так запущенные сервисы можно легко увидеть в соответствующей оснастке, а ветки Run хорошо всем известны, и можно без труда проверить их содержимое.

Однако, в реестре есть менее известные ветки, в которые тоже можно подселить выполнимый файл. В данном случае речь пойдет не совсем об автозагрузке как таковой, но при желании здесь тоже можно организовать автозапуск.

Разработчики из Майкрософт очень любят оставлять себе лазейки в виде недокументированных возможностей. В частности, они предусмотрели функционал по автоматическому запуску отладчика для заданного приложения. Работает это следующим образом: в ветке реестра

 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ Image File Execution Options\

Мы создаем раздел с именем запускаемого приложения, а в этом разделе создаем параметр Debug в котором уже указываем выполнимый файл, запускаемый в реальности.

То есть, в примере на скриншоте при попытке запуска калькулятора у нас запустится некий prog.exe. Таким образом можно под видом одного приложения запустить другое. Можно к примеру подменить экранную клавиатуру (osk.exe) на командную строку (cmd.exe). В результате можно будет на заблокированном компьютере вызывать клавиатуру и получать командную строку, причем с правами System!

Небезопасные обновления

Продолжая тему реестра и размещения приложений в нем, мы можем поправить команды, которые выполняются при обновлении тех или иных компонентов. В ветке

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\

Указаны GUID установленных компонентов и для многих из них можно найти параметры StubPath и Version. Далее процитируем официальную документацию Майкрософт:

При входе пользователя система сравнивает содержимое разделов HKLM\Software\Microsoft\Active Setup\Installed Components и HKCU\Software\Microsoft\Active Setup\Installed Components. Для каждого раздела в HKLM должна быть копия с тем же GUID в HKCU. Дальше есть три варианта развития событий:

1.  Если копии нет, то выполняется команда, указанная в StubPath, после чего в HKCU создается раздел с тем же GUID и прочими параметрами.

2. Если копия есть, то сравнивается значение параметра Version. Если версия в HKCU младше, чем в HKLM, то задание отрабатывает повторно, после чего номер версии в HKCU обновляется.

3. Если же раздел с одинаковым GUID есть и в HKLM и в HKCU и номер версии у них совпадает, то значит компонент уже отработал для данного пользователя и запускать его не требуется.

Таким образом мы можем поиграться со значением StubPath и версиями для того, чтобы в итоге выполнить то, что нам нужно. По сути, здесь тоже можно реализовать автозагрузку.

Переселяем папки

Также с помощью реестра можно “перепрятать” разделы из меню Пуск. В ветке HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

Размещаются пути к различным компонентам, включая меню Автозагрузка. Соответственно, здесь мы тоже можем поменять значения параметров для того, чтобы запускать файлы из другого каталога.

Планировщик задач

Помимо реестра мы можем попробовать прописать свое приложение в XML файлы с описанием задач. В каталоге %WINDIR%\System32\Tasks находятся XML файлы в которых прописано выполнение тех или иных действий и расписание, по которому эти действия выполняются.

Помимо прочего, в них можно найти и те команды, которые должны выполняться в рамках этой задачи.

Таким образом мы получаем еще один вектор для закрепления в системе.

Заключение

В этой статье мы рассмотрели основные методы размещения выполнимых файлов в системе для автозагрузки. Знание этих методов может помочь в выявлении подозрительных активностей злоумышленников в системе.

О других инструментах для обеспечения безопасности можно узнать у экспертов в области ИБ, например на онлайн-курсах. Перед стартом обучения проходят открытые уроки от преподавателей курсов, на которых можно узнать об актуальных технологиях и задать интересующие вопросы экспертам.

HKEY_CLASSES_ROOT
HKCR содержит два типа данных. Первый является ассоциациями файлов, которые связывают различные типы файлов с программами, которые могут их открывать, печатать и редактировать. Второй является регистрациями классов для объектов Component Object Model (COM — компонентная модель объектов). С точки зрения настроек, этот корневой ключ является одним из наиболее интересных в реестре потому, что он позволяет вам изменить огромное число правил поведения системы. Этот корневой ключ также является самым большим в реестре, занимая большую часть места, потребляемого реестром. До выхода Windows 2000 HKCR был ссылкой на ключ HKLM\SOFTWARE\Classes, но сейчас этот корневой ключ стал значительно сложнее. Чтобы создать HKCR, операционная система объединяет два ключа: HKLM\SOFTWARE\Classes, который содержит ассоциации файлов и регистрацию классов по умолчанию; и HKCU\Software\Classes, который содержит пользовательские ассоциации файлов и регистрацию классов. HKCU\Software\Classes на самом деле является ссылкой на HKU\SID Classes, о котором вы узнали в разделе «HKEY_USERS». Если одно и то же значение имеется в обеих ветвях, то значение из HKCU\Software\Classes имеет более высокий приоритет и преобладает над значением из HKLM\SOFTWARE\Classes. Этот новый алгоритм объединения имеет несколько преимуществ.
• Программы могут регистрировать общекомпьютерные и пользовательские ассоциации файлов и классы программ. (Один пользователь может иметь ассоциации файлов, которых нет у других пользователей этого компьютера). Это, вероятно, самое большое преимущество объединения.
• Пользователи, которые пользуются одним компьютером, могут использовать две различные программы для того, чтобы редактировать один и тот же тип файлов, не оказывая при этом влияния друг на друга.
• Из-за того, что пользовательские ассоциации файлов и регистрации классов находятся в профиле пользователя, они с помощью использования блуждающих профилей пользователей могут передаваться с компьютера на компьютер вслед за пользователем.
• IT-профессионалы могут ограничить доступ к HKLM\SOFTWARE\Classes, не помешав при этом пользователям изменять HKCU\ Software\Classes и увеличивая тем самым безопасность реестра, не ограничивая возможности пользователя по изменению ассоциаций файлов.
Создайте новый ключ в корне ключа HKCR, и Windows XP на самом деле создаст его в HKLM\SOFTWARE\Classes. Windows XP не предоставляет пользовательского интерфейса, кроме редактора реестра, чтобы добавлять регистрацию классов в HKCU\Software\Classes потому, что его назначение – это позволить программам регистрировать пользовательские классы программ. Когда вы редактируете существующий класс программ, изменения отразятся в HKLM или HKCU в зависимости от того, где на самом деле этот класс программ находится. Если класс программ существует в обеих ветвях, то Windows XP изменяет только версию из HKCU.
Заметьте, что HKCR имеет такое значение, что ему посвящено отдельное приложение. Приложение А «Ассоциации файлов» описывает этот корневой ключ более подробно. Вы узнаете, как он связывает расширения файлов с типами файлов, как Windows XP регистрирует объекты COM, и какие подключи являются наиболее интересными для внесения изменений в настройки.

Запретить выход из системы из меню Пуск. Чтобы изменения вступили в силу, необходимо перезагрузиться.
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
DWORD StartMenuLogoff, значение 1 — удаляет кнопку из меню

HKLM\SOFTWARE\Microsoft\MediaPlayer\Settings\MP3Encoding
Минимальный битрейт:
LowRate:DWORD = 56000, равно 56 Кбит
Средний битрейт:
MediumRate:DWORD = 64000, равно 64 Кбит
Средний-высокий битрейт:
MediumHighRate:DWORD = 128000, равно 128 Кбит
Максимальный битрейт:
HighRate:DWORD = 192000, равно 192 Кбит

Или создай reg-файл следующего содержания:

Код:
Regedit 4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MediaPlayer\Settings]
[HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\MediaPlayer\Settings\MP3Encoding]
«LowRate»=dword:0000dac0
«MediumRate»=dword:0000fa00
«MediumHighRate»=dword:0001f400
«HighRate»=dword:0002ee00

В реестре включится встроенный MP3 кодек, максимальный битрейт 192Кб.

Security\Desktop and Explorer

HKEY_CLASSES_ROOT\\NeverShowExt
Чтобы все расширения (даже скрытые) были видны в проводнике, необходимо удалить все значения NeverShowExt в реестре, в ветке HKEY_CLASSES_ROOT предварительно скопировав ветку. Можно использовать следующий рег файл:

REGEDIT4
[HKEY_CLASSES_ROOT\DocShortcut]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\InternetShortcut]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\lnkfile]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\piffile]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\SHCmdFile]
«NeverShowExt»=-
[HKEY_CLASSES_ROOT\ShellScrap]
«NeverShowExt»=-

для восстановления по умолчанию

REGEDIT4
[HKEY_CLASSES_ROOT\DocShortcut]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\InternetShortcut]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\lnkfile]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\piffile]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\SHCmdFile]
«NeverShowExt»=»»
[HKEY_CLASSES_ROOT\ShellScrap]
«NeverShowExt»=»»

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\SecureDesktop
Анти snooping пользователей. Конфликтует с некоторыми программами.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 0 = отключить защиту)

HKEY_CURRENT_USER\Control Panel\Desktop\\MUILanguagePending
Настройки языка. Код (ID) языка, используемого для отображения меню и диалоговых окон системы, индивидуален для каждого пользователя и хранится в реестре в ветке HKEY_CURRENT_USER\Control Panel\Desktop\MultiUILanguageId. Когда пользователь меняет язык системы в региональных настройках, ID нового языка сохраняется в ветке HKEY_CURRENT_USER\Control Panel\Desktop\MUILanguagePending и вступает в силу только при следующем входе пользователя в систему, после чего оба ключа принимают одинаковое значение.
Тип: REGSZ;
Значение: (любое допустимое)

HKEY_CURRENT_USER\Control Panel\Desktop\\MultiUILanguageId
Настройки языка. Код (ID) языка, используемого для отображения меню и диалоговых окон системы, индивидуален для каждого пользователя и хранится в реестре в ветке HKEY_CURRENT_USER\Control Panel\Desktop\MultiUILanguageId. Когда пользователь меняет язык системы в региональных настройках, ID нового языка сохраняется в ветке HKEY_CURRENT_USER\Control Panel\Desktop\MUILanguagePending и вступает в силу только при следующем входе пользователя в систему, после чего оба ключа принимают одинаковое значение.
Тип: REGSZ;
Значение: (любое допустимое)

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoFileAssociate
Отключить возможность изменения ассоциаций типа файлов. На вкладке «Тип файлов» в окне «Свойства папки» все кнопки будут не задействованы.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = отключить кнопки)

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoFolderOptions
Скрыть пункт меню «Свoйcтва пaпки» в «Проводнике» и в «Панели инструментов». Необходима перезагрузка.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoFileMenu
Скрыть меню «Файл» в «Проводнике». Необходима перезагрузка.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoViewContextMenu
Контекстное меню, которое обычно появляется, когда Вы щелкаете правой кнопкой мыши на «Рабочем столе» или в правом окне «Проводника».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\EnforceShellExtensionSecurity
Рaзpeшить иcпoльзoвaниe тoлькo пoльзoвaтeльcкиx или зapeгиcтpиpoвaнныx pacшиpeний.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = включить) Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoDrives
Скрывает значки, представляющие выбранные диски, из папок «Мой компьютер» и «Проводник». A: 1, B: 2, C: 4, D: 8, E: 16, F: 32, G: 64, H: 128, I: 256, J: 512, K: 1024, L: 2048, M: 4096, N: 8192, O: 16384, P: 32768, Q: 65536, R: 131072, S: 262144, T: 524288, U: 1048576, V: 2097152, W: 4194304, X: 8388608, Y: 16777216, Z: 33554432, ALL: 67108863. Также будут скрыты эти значки и в стандартных окнах открытия и сохранения файлов. Тем не менее, пользователь по-прежнему имеет доступ к этим дискам через команду «Выполнить» или печатая вручную адрес в адресной строке проводника.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; чтобы к примеру скрыть диски А: и D:, значение должно быть 9 = 1 + Групповая политика.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoViewOnDrive
Зaпpeтить дocтyп к диcкaм чepeз «Moй кoмпьютep» (не скрывая их). A: 1, B: 2, C: 4, D: 8, E: 16, F: 32, G: 64, H: 128, I: 256, J: 512, K: 1024, L: 2048, M: 4096, N: 8192, O: 16384, P: 32768, Q: 65536, R: 131072, S: 262144, T: 524288, U: 1048576, V: 2097152, W: 4194304, X: 8388608, Y: 16777216, Z: 33554432, ALL: 67108863.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; чтобы к примеру запретить доступ к дискам А и D, значение должно быть 9 = 1 + Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoHardwareTab
Скрыть вклaдкy «Oбopyдoвaниe»
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoDFSTab
Скрыть вкладку «DFS» (Distributed File System), что позволит предотвратить изменение свойств локальных сетевых ресурсов DFS пользователями
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoSecurityTab
Скрыть вкладку «Безопасность».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoDesktop
Возможность скрытия всех элементов на рабочем столе. Будут доступны только «Панель задач» и меню кнопки «Пуск».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\N onEnum\\{450D8FBA-AD25-11D0-98A8-0800361B1103}
Этот параметр скрывает значок «Мои документы» на «Рабочем столе», в окне «Проводника» Windows, в программах, которые используют окно «Проводника» и в стандартном диалоге «Открыть».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\N onEnum\\{645FF040-5081-101B-9F08-00AA002F954E}
Этот параметр скрывает значок «Корзины» на «Рабочем столе», в окне «Проводника» Windows, в программах, которые используют окна «Проводника» Windows и в стандартном диалогового окне открытия файлов.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoPropertiesMyDocuments
Параметр скрывает команду «Свойства» в контекстном меню папки «Мои документы».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoPropertiesMyComputer
Скрыть кoмaндy «Cвoйcтвa» в кoнтeкcтнoм мeню папки «Moй кoмпьютep».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoNetHood
Скрыть знaчoк «Ceтeвoe oкpyжeниe» на «Рaбoчeм cтoле».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoCloseDragDropBands
Запретить пepeтacкивaниe и зaкpытиe вcex пaнeлeй инcтpyмeнтoв нa «Пaнeли зaдaч».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = запретить) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoMovingBands
Параметр запрещает пользователям настраивать длину панелей инструментов «Рабочего стола». Кроме того, пользователи не могут изменить расположение различных элементов или панелей инструментов на закрепленных панелях инструментов.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = запретить) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\S ystem\\WallpaperStyle
Управление размещением обоев.
Тип: REGSZ;
Значение: (по умолчанию параметра нет; 0 = по центру; 1 = плиткой; 2 = растянуть на весь экран) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop\\ScreenSaveActive
Включaeт экpaнныe зacтaвки «Рaбoчeгo cтoлa».
Тип: REGSZ;
Значение: (по умолчанию параметра нет; 1 = включить) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop\\SCRNSAVE.EXE
Путь к файлу экранной заставки, который будет задействован при значении = 1 параметра ScreenSaveActive.
Тип: REGSZ;
Значение: (по умолчанию параметра нет; путь к файлу) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop\\ScreenSaverIsSecure
Защита паролем любых экранных заставок. Также не дает пользователям изменять установки защиты паролем.
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = включить) Групповая политика.

———————————————————————————
HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Control Panel\Desktop\\ScreenSaveTimeOut
Задает интервал времени бездействия пользователя перед тем, как будет запущена экранная заставка.
Тип: REGSZ;
Значение: (по умолчанию параметра нет; 1 — 86400 секунд) Групповая политика.

———————————————————————————
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\\fAllowToGetHelp
Отправка приглашения удаленному помощнику.
Тип: REGDWORD;
Значение: (0 = отключить; 1 = включить) Свойства системы.

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\A dvanced\\ClassicViewState
Пoмнить пapaмeтpы oтoбpaжeния кaждoй пaпки.
Тип: REGDWORD;
Значение: (0 = помнить; 1 = не запоминать) Свойства папки > Вид

———————————————————————————
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Directory\Background\shellex\Conte xtMenuHandlers\New\\(default)
Если удалить значение данного параметра то из контекстного меню проводника исчезнет пункт «Создать».
Тип: REGSZ;
Значение: (по умолчанию = {D969A300-E7FF-11d0-A93B-00A0C90F2719})

———————————————————————————
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\E xplorer\\NoPropertiesRecycleBin
Скрыть кoмaнду «Cвoйcтвa» в кoнтeкcтнoм мeню «Kopзины».
Тип: REGDWORD;
Значение: (по умолчанию параметра нет; 1 = скрыть) Групповая политика.

———————————————————————————
Источник: http://alexkostrukov.narod.ru

Другие части статьи:

Секреты реестра. Часть 2.
Секреты реестра. Часть 3.
Секреты реестра. Часть 4.
Секреты реестра. Часть 5.
Секреты реестра. Часть 6.
Секреты реестра. Часть 7.
Секреты реестра. Часть 8.
Секреты реестра. Часть 9.
Секреты реестра. Часть 10.
Секреты реестра. Часть 11.
Секреты реестра. Часть 12.
Секреты реестра. Часть 13.
Секреты реестра. Часть 14.
Секреты реестра. Часть 15.

Оцените статью: Голосов

Для удобства пользования используется следующая система, позволяющая наглядно представить все возможности реестра.

Используемые сокращения

HKLM = HKEY_LOCAL_MACHINE
HKCU = HKEY_CURRENT_USER
HKCR = HKEY_CLASSES_ROOT

• Оболочка Windows
• Системные и специальные папки
• Контекстное меню Проводника
• Новый ярлык
• Панель инструментов
• Меню Проводника
• Установка классического вида в Проводнике
• Связанные документы
• Проводник как два отдельных процесса
• Изменение цвета файла при подведении мыши
• Перезагрузка Windows
• Диски

Оболочка Windows
Надоел Проводник в качестве оболочки Windows? Можно поставить любую программу, которая будет служить в качестве такой оболочки, например, progman.exe, входящий в стандартную поставку Windows. Для этого поменяйте значение параметра Shell на progman.exe в разделе

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System

Когда захочется вернуть все назад, поменяйте указанное значение на explorer.exe

Системные и специальные папки
В Windows можно поменять место расположения системных и специальных папок (Принтеры, Рабочий стол, Избранное, SendTo и т.п.). Но просто так перенести их в другое место не удастся — при следующей загрузке они опять восстановятся на старом месте. Это связано с тем, что пути к этим папкам прописаны в реестре. Чтобы настроить расположение этих папок на вашем жестком диске, зайдите в раздел

HKCU\Software\ Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
или
HKCU\Software\ Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders

и поменяйте путь для нужных вам папок. Затем их можно будет спокойно перенести по прописанному вами адресу После перезагрузки изменения вступят в силу

Контекстное меню Проводника

• Блокировка контекстного меню
  Чтобы сделать недоступным контекстное меню Проводника при щелчке правой кнопкой мыши, найдите ветвь:
  

  HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

  — и создайте параметр типа DWORD NoViewContextMenu со значением 1

• Удаление команды Создать
  Если вы хотите удалить команду Создать из контекстного меню Проводника, то удалите строковый параметр {D969A300-E7FF-11d0-A93B-00A0C90F2719} в разделе
  

  HKCR\Directory\Background\shellex\ContextMenuHandlers\New

• Новые пункты «Копировать в папку» и «Переместить в папку»
  Зачастую, возможностей стандартного контекстного меню файлов не хватает для различных задач пользователей. В Windows 2000/XP можно добавить еще пару пунктов, которые заложены в самой операционной системе, но по умолчанию не включены. В реестре Windows существует два раздела
  

  {C2FBB630-2971-11d1-A18C-00C04FD75D13}
  и {C2FBB631-2971-11d1-A18C-00C04FD75D13}

  которые отвечают за копирование и перемещение файлов в Windows. Эти две возможности, Копировать в папку и Переместить в папку, можно включить в контекстное меню файлов. Эти два пункта вызывают стандартное окно для копирования или перемещения файла, пользоваться которыми порой гораздо удобнее, чем открывать отдельное окно с нужным каталогом, а потом перетаскивать в него файлы.

  Чтобы включить новые пункты в контекстное меню надо создать разделы и параметры в реестре:
  для копирования: установить значение по умолчанию равным {C2FBB630-2971-11d1-A18C-00C04FD75D13} в разделе

  HKCR\*\shellex\ContextMenuHandlers\Copyto

  для перемещения: установить значение по умолчанию равным {C2FBB631-2971-11d1-A18C-00C04FD75D13} в разделе

  HKCR\*\shellex\ContextMenuHandlers\Moveto

  В этом случае пункты меню появятся у всех файлов и папок. Чтобы добавить их только в файлы с конкретным расширением, надо добавлять записи в раздел shellex этих файлов. Так, для текстовых файлов это будет выглядеть таким образом:

  для копирования

  [HKCR\txtfile\shellex\ContextMenuHandlers\Copyto]
  @=»{C2FBB630-2971-11d1-A18C-00C04FD75D13}»

  для перемещения

  [HKCR\txtfile\shellex\ContextMenuHandlers\Moveto]
  @=»{C2FBB631-2971-11d1-A18C-00C04FD75D13}»

  Изначально раздела shellex там нет. Надо создать его и все подразделы самостоятельно

Новый ярлык
В Проводнике или Мой компьютер через меню Файл-Создать-Ярлык вы можете получить доступ к дискам компьютера, даже если вы отключили контекстное меню Проводника. Чтобы не допустить появления мастера создания нового ярлыка, удалите или переименуйте раздел:

HKCR\.lnk\ShellNew

Возможность создания нового ярлыка сохранится, но доступ к дискам будет перекрыт

Панель инструментов

• Настройка панели инструментов
  Если щелкнуть правой кнопкой мыши на панели инструментов, то появлятся всплывающее меню, содержащее пункт Настройка, который позволяет настраивать панель инструментов. Чтобы скрыть этот пункт, создайте параметр типа DWORD NoToolbarCustomize со значением 1 в разделе
  

  HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

  Подобный пункт будет удален также и в Internet Explorer

• Замена фона в панели инструментов в Проводнике
  Существует возможность установки своего фона для панели инструментов в Проводнике. Для этого в разделе реестра
  

  HKCU\SOFTWARE\Microsoft\Internet Explorer\Toolbar

  создайте строковый параметр BackBitmapShell, значением которого будет полное имя BMP-файла с нужной картинкой — она и замостится мозаикой на панелях окон

• Удаление кнопки Поиск из Проводника
  Проводник Windows содержит кнопку Поиск на панели инструментов. Для удаления данной кнопки используйте параметр DWORD NoShellSearchButton со значением равным 1 в разделе
  

  HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer

  Также будет удалена эта кнопка из окна Мои документы, и других мест, использующих оболочку Windows

Меню Проводника

• Удаление пункта меню Файл из Проводника
  Для удаления пункта меню Файл из Проводника используйте параметр типа DWORD NoFileMenu со значением 1 в разделе
  

  HKCU\SOFTFARE\Microsoft\Windows\CurrentVersion\Policies\Explorer

  Также будет удален этот пункт из окна Мои документы, Internet Explorer и других мест, использующих оболочку Windows

• Настройка вида папки
  Для запрещения команды Настройка вида папки в меню Вид используйте параметр типа DWORD NoCustomizeWebView со значением 1 в разделе
  

  HKCU\Software\Microsoft\Windows\ CurrentVersion\Policies\Explorer

Установка классического вида в Проводнике
Проводник Windows содержит пункты меню, как Переход и Избранное, которые отражают новые Web-возможности Windows. Если нет необходимости использовать новые возможности, то можно использовать классический стиль окон оболочки и проводника, добавив параметр ClassicShell со значением DWORD равным 0x00000001 в раздел

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer

Связанные документы
В последних версиях Windows появилось понятие сопоставленных файлов. Например, если вы собираетесь переместить или удалить html-документ, то будут также перемещены или удалены и сопоставленные с этим документом файлы, которые содержаться в папке ИмяДокумента.files. Если вы хотите отключить подобное поведение, то создайте параметр DWORD NoFileFolderConnection со значением 1 в разделе

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer

Проводник как два отдельных процесса
Как известно, Проводник выступает и в качестве оболочки Windows, и в качестве файл-менеджера. И хотя это повышает удобство, на использовании памяти это сказывается отнюдь не лучшим образом. При нормальных условиях Проводник отнимает целых 8 Мбайт памяти Windows. Из-за проблем с выделением памяти Windows использует двойную квоту памяти для Проводника, считая ее используемой разными программами. Чтобы избавиться от этой проблемы, «интегрированной» в систему, надо запустить Проводник как два отдельных процесса вместо одного. Для этого нужно изменить значение параметра DWORD SeparateProcess в разделе

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

(«0» — один процесс, «1» — два процесса)

Изменение цвета файла при подведении мыши
Если в Проводнике используется веб-вид (в Windows XP этот стиль стоит по умолчанию), то при подведении курсора мыши к значку и имени файла или папки изменяется цвет текста. По умолчанию этот цвет совпадает со цветом выделенного файла. Можно задать другой цвет, отличающийся от цвета выделенного файла. Создайте строковый параметр HotTrackingColor в разделе

HKCU\Control Panel\Colors

Данный параметр должен содержать цвет в формате RGB, который является комбинацией трех цветов: красного, зеленого и голубого (например, 255 0 0). Ниже приводится список некоторых цветов:

красный	255 0 0
желтый	255 255 0
зеленый	0 255 0
голубой	0 255 255
синий	0 0 255
сиреневый	255 0 255

После перезагрузки вы увидите, как изменяется цвет имени файла при наведении на него мыши

Перезагрузка Windows

• Перезагрузка после краха
  Чтобы принудительно заставить Windows перегрузиться после краха в системе, измените значение параметра DWORD AutoReboot в разделе
  

  HKLM\SYSTEM\CurrentControlSet\Control\CrashControl

  с 0 на 1

• Перезагрузка оболочки
  По умолчанию при ошибках оболочки (Explorer) в Windows перезагружается вся операционная система. Однако, существует возможность перезагружать только саму оболочку, тем самым не теряя данных, обрабатываемых другими приложениями. Для этого в разделе
  

  HKCU\Software\Microsoft\Windows NT\CurrentVersion\WinlogonM

  надо изменить параметр DWORD AutoRestartShell

  0 — перезагружается операционная система
  1 — перезагружается только оболочка

Диски

• Изменение значков для разделов диска
  Можно изменить вид значков и описание диска в окне Мой компьютер и Проводник. Для этого откройте раздел
  

  HKLM\Software\Microsoft\Windows\CurrentVersion\Explоrer

  и создайте новый подраздел DriveIcons. Далее в созданном подразделе необходимо создать подразделы с буквами дисков, чьи значки и описания вы собираетесь менять. Следующий шаг — создание в подразделах диска двух новых подразделов DefaultIcon и DefaultLabel.

  В этих подразделах нужно изменить значения по умолчанию. В первом случае нужно указать путь к значку, а во втором — описание диска. Например, вот как будет выглядеть параметры в реестре для диска С

  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\DriveIcons\C\ DefaultIcon]
  @=»explorer.exe,8″

  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\DriveIcons\C\ DefaultLabel]
  @=»Мой системный диск»

• Скрытие значков дисков в окне Мой компьютер и Проводник
  Если вы хотите скрыть значки дисков в окне Мой компьютер и Проводник, то откройте раздел
  

  HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explоrer

  и создайте параметр NoDrives типа DWORD с требуемым значением. Также будут скрыты эти значки и в стандартных окнах Открытия и Сохранения файлов. Тем не менее, пользователь по-прежнему имеет доступ к этим дискам (через команду Выполнить или печатая вручную адрес в адресной строке Проводника)

  Данный параметр является набором битовых флагов. Каждый бит соответствует одному из 26 возможных имен дисков. Каждому диску присваиваются значения (hex): A -1; B — 2; C — 4 и т.д. Чтобы скрыть нужные вам диски, нужно сложить эти биты. Сложность состоит в переводе двоичного значения в шестнадцатеричное. Здесь приводится небольшой список возможных значений

  0x03FFFFFF	Скрывает все значки
  0x3	Скрывает только диски A и B
  0x4	Скрывает только диск C
  0x8	Скрывает только диск D
  0x7	Скрывает только диски A, B и C
  0xF	Скрывает только диски A, B, C и D
  0x0	Видны все диски

  Можно использовать и десятичную систему. Смотри совет ниже.

• Запрет на доступ к содержимому выбранных дисков
  Можно не скрывать сами значки дисков, но запретить пользователю доступ к файлам заданных дисков через Проводник, Мой компьютер, Выполнить или команду Dir. Откройте реестр и создайте параметр NoViewOnDrive типа DWORD в разделе
  

  HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

  содержащий битовую маску для дисков. Например, диск A имеет бит 1, диск С — 4, диск D — 8. Таким образом, чтобы скрыть диски A и D, нужно сложить их значения 1 (A) + 8 (D) и установить значение 9.

  Список всех дисков:

  A: 1, B: 2, C: 4, D: 8, E: 16, F: 32, G: 64, H: 128, I: 256, J: 512, K: 1024, L: 2048, M: 4096, N: 8192, O: 16384, P: 32768, Q: 65536, R: 131072, S: 262144, T: 524288, U: 1048576, V: 2097152, W: 4194304, X: 8388608, Y: 16777216, Z: 33554432, Все диски: 67108863

• Вкладка Оборудование
  Чтобы удалить вкладку Оборудование при просмотре свойств локального диска, создайте параметр типа DWORD NoHardwareTab в разделе
  

  HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

NoDesktopОтключить рабочий стол0 (нормальная работа рабочего стола); 1 (отключить)
DisableLocalMachineRunОтключить автозагрузку в системной части реестра0 (не отключать); 1 (отключить)
DisableCurrentUserRunОтключить автозагрузку в пользовательской части реестра0 (не отключать); 1 (отключить)
DisableLocalMachineRunOnceОтключить одноразовую автозагрузку в системной части реестра0 (не отключать); 1 (отключить)
DisableCurrentUserRunOnceОтключить одноразовую автозагрузку в пользовательской части реестра0 (не отключать); 1 (отключить)
NoStartMenuSubFoldersОтключить вложенные папки в меню «Программы»0 (не отключать); 1 (отключить)
NoTaskGroupingОтключить группирование сходных кнопок на ПЗ0 (не отключать); 1 (отключить)
NoCDBurningОтключить встроенные средства записи компакт-дисков0 (не отключать); 1 (отключить)
NoLowDiskSpaceChecksОтключить проверку свободного места на дисках0 (не отключать); 1 (отключить)
NoActiveDesktopОтключить ActiveDesktop0 (не отключать); 1 (отключить)
NoSimpleStartMenuОтключить возможность перехода на классическое меню «Пуск»0 (не отключать); 1 (отключить)
NoSharedDocumentsОтключить общие документы0 (не отключать); 1 (отключить)
NoWebServicesОтключить Web-службы0 (не отключать); 1 (отключить)
NoOnlinePrintsWizardОтключить Online печать0 (не отключать); 1 (отключить)
NoPublishingWizardОтключить мастер публикаций0 (не отключать); 1 (отключить)
LockTaskbarЗакрепить панель задач0 (не закреплять); 1 (закрепить)
ClearRecentDocsOnExitОчищать историю документов при выходе из системы0 (не очищать); 1 (очищать)
NoRecentDocsHistoryНе вести историю документов0 (вести); 1 (не вести)
UseDesktopIniCacheИспользовать кэш файлов Desktop.ini0 (не использовать); 1 (использовать)
NoInternetOpenWithНе предлагать поиск соответствия в internet’е при открытии файлов неизвестного типа0 (предлагать); 1 (не предлагать)
NoFindСкрыть поиск по файлам0 (не скрывать); 1 (скрыть)
NoRunСкрыть команду «выполнить»0 (не скрывать); 1 (скрыть)
NoFavoritesMenuСкрыть меню «избранное»0 (не скрывать); 1 (скрыть)
NoStartMenuMyMusicСкрыть папку «Моя музыка» в меню «пуск»0 (не скрывать); 1 (скрыть)
NoSMMyPicturesСкрыть папку «Мои рисунки» в меню «пуск»0 (не скрывать); 1 (скрыть)
NoRecentDocsMenuСкрыть меню «Документы»0 (не скрывать); 1 (скрыть)
NoSMMyDocsСкрыть папку «Мои документы» в меню «пуск»0 (не скрывать); 1 (скрыть)
NoStartMenuMFUprogramsListСкрыть ярлыки часто используемых программ в меню «пуск»0 (не скрывать); 1 (скрыть)
HideClockСкрыть часы0 (не скрывать); 1 (скрыть)
NoAutoTrayNotifyСкрыть уведомления о скрытии значков в системном лотке0 (не скрывать); 1 (скрыть)
NoPropertiesMyComputerСкрыть пункт меню «Свойства» из контекстного меню «Мой компьютер»0 (не скрывать); 1 (скрыть)
NoInternetIconСкрыть значок IE на рабочем столе0 (не скрывать); 1 (скрыть)
NoControlPanelСкрыть панель управления0 (не скрывать); 1 (скрыть)
NoWebViewСкрыть Web-содержимое при просмотре папок0 (не скрывать); 1 (скрыть)
DontShowSuperHiddenСкрыть защищённые системные файлы0 (не скрывать); 1 (скрыть)
NoCustomizeThisFolderСкрыть настройку вида папки0 (не скрывать); 1 (скрыть)
NoSecurityTabСкрыть вкладку «Безопасность»0 (не скрывать); 1 (скрыть)
NoFileMenuСкрыть меню «Файл» в проводнике0 (не скрывать); 1 (скрыть)
NoShellSearchButtonСкрыть кнопку «Поиск» в проводнике0 (не скрывать); 1 (скрыть)
NoNetConnectDisconnectСкрыть кнопку подключения сетевого диска0 (не скрывать); 1 (скрыть)
NoEncryptionСкрыть команду шифрования файлов0 (не скрывать); 1 (скрыть)
NoSMConfigureProgramsСкрыть «Выбор программ по умолчанию» в главном меню0 (не скрывать); 1 (скрыть)
NoNetworkConnectionsСкрыть значок «Сетевые подключения»0 (не скрывать); 1 (скрыть)
NoSMHelpСкрыть «Справку и поддержку» в главном меню0 (не скрывать); 1 (скрыть)
NoLogoffСкрыть «Выход из системы» в главном меню0 (не скрывать); 1 (скрыть)
NoUserNameInStartMenuСкрыть имя вошедшего в систеиу пользователя0 (не скрывать); 1 (скрыть)
NoSaveSettingsНе запоминать размер и положение окон Проводника0 (запоминать); 1 (не запоминать)
NoCloseЗапретить пользователям выключать или перезагружать компьютер через меню «Пуск»0 (не запрещать); 1 (запретить)