Cum găsiți data ultimei modificări pentru serviciile din Windows?

Dacă aveți un sistem Windows compromis și doriți să analizați când au fost instalate sau modificate serviciile, atunci cum faceți asta? Astăzi, postul SuperUser Q & A are răspunsurile la o întrebare curioasă a cititorului.

Întrebarea de astăzi &Sesiunea de răspuns vine de la amabilitatea SuperUser - o subdiviziune a Stack Exchange, o grupare bazată pe comunitate a site-urilor web Q & A.

Imaginea de pe Notepad este multumita de Flyk( SuperUser).

Întrebarea

Cititorul de super-utilități Lucas Kauffman dorește să știe cum să găsească Data de creare ( sau ultima dată modificată ) pentru serviciile din Windows:

Dacă aveți un sistem de operare compromis pe care încercați să îl analizați pentru serviciile nou instalatesau când au fost instalate servicii, cum faceți asta? Unde pot găsi data de creare a pentru un anumit serviciu din registrul Windows?

Cum găsiți Data de creare sau Data ultimei modificări pentru servicii în Windows?

Răspunsul contribuitorilor

SuperUser Flyk și Andrew Medico au răspunsul pentru noi. Primul pas, Flyk:

Nu există nicio modalitate de a determina Data de creare pentru un anumit serviciu Windows, deoarece atletul de servicii și registrul Windows nu stochează nici o dată referitoare la crearea.

Există, totuși, ultima dată modificată care este ascunsă departe de vizualizare( chiar și în editorul de registru Windows), dar poate fi accesată utilizând RegQueryInfoKey. Deoarece toate serviciile Windows sunt stocate în registry, puteți verifica ultima dată modificată împotriva cheilor de registry legate de serviciul în cauză prin căutarea în HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services .

Alternativ, dacă exportați cheile de registry pe care doriți informații despre fișier text, veți vedea ultima dată modificată pentru fiecare cheie este scrisă în fișierul text.

În cele din urmă, o soluție care folosește PowerShell pentru a returna ultima dată modificată a fost discutată deja despre stack overflow.

Urmat de răspunsul de la Andrew Medico:

Începând cu Vista, crearea de servicii este înregistrată în din sistemul de evenimente sub Manager de control al serviciului ID 7045 .

De exemplu, următoarea comandă:

A produs următoarea înregistrare a evenimentelor:

Aveți ceva de adăugat la explicație? Sunați în comentarii. Doriți să citiți mai multe răspunsuri de la alți utilizatori de tehnologie Stack Exchange? Check out discuția completă aici.