Que signifie le chemin «\ REGISTRY \ A \…» dans le journal Sysinternals Procmon?

J'utilise l'utilitaire Sysinternals Procmon pour surveiller l'accès au registre par certains programmes. La plupart des entrées de journal ont la propriété Path commençant par HKCU\…ou HKLM\…, qui correspond aux ruches du Registre HKEY_CURRENT_USERet HKEY_LOCAL_MACHINEqui peut être vue à l'aide de Regedit. Mais certaines entrées ont le chemin à partir de \REGISTRY\A\…:

Pourriez-vous expliquer de quelle partie du registre il s'agit? Puis-je le voir en utilisant Regedit ou un autre utilitaire? Puis-je y accéder par programme?

J'utilise Windows 8.1 Enterprise x64 .

MISE À JOUR: J'ai contacté les développeurs Procmon et ils m'ont indiqué les ressources MSDN suivantes couvrant cette question:

• Filtrage des opérations de registre sur les ruches d'application
• Fonction RegLoadAppKey

C'est une ruche d'application , qui peut être vue en volatilité sans nom! Les ruches de pplication sont des ruches de registre chargées par des applications en mode utilisateur pour stocker des données d'état spécifiques à l'application. Une application appelle la fonction RegLoadAppKey pour charger une ruche d'application.

plus d'informations sur

http://msdn.microsoft.com/en-us/library/windows/hardware/jj673019%28v=vs.85%29.aspx

Que signifie le chemin «\ REGISTRY \ A \…» dans le journal Sysinternals Procmon? Pourriez-vous expliquer de quelle partie du registre il s'agit? Puis-je le voir en utilisant Regedit ou un autre utilitaire? Puis-je y accéder par programme?

Je ne peux pas reproduire ce que vous voyez sur mon système, mais je peux vous dire comment vous pouvez trouver ce que c'est sur le vôtre. Vous pouvez voir une liste de toutes les ruches de registre qui sont actuellement montées sous n'importe quel nom (y compris les ruches à l'échelle du système, les ruches utilisateur pour les utilisateurs actuellement connectés et toutes les ruches chargées manuellement ou par logiciel) à la clé de registre suivante. Il affichera à la fois le chemin du registre interne et le chemin vers le fichier ruche (figure 1).

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\hivelist

Vous pouvez utiliser cette commande pour voir quels services sont hébergés par l'instance spécifique de svchost.exe. J'ai utilisé le pid (1240) qu'il utilisait au moment de votre capture d'écran; remplacez-le par le PID actuel.

tasklist /svc /fi "pid eq 1240"

Figure 1 : Capture d'écran de l'éditeur de registre avec la clé de pivot mise en évidence, montrant les ruches de registre montées

\REGISTRY\Aest une ruche de registre masquée à utiliser par les applications du Windows Store (également appelées applications de style Metro).

Je dois répondre à ma propre question dans les commentaires.

Pour éditer une ruche privée, elle doit être chargée auparavant.

Pour Visual Studio, cela peut être fait de cette façon:

https://social.msdn.microsoft.com/Forums/vstudio/en-US/f636ee47-1eb7-45ed-ae2a-674cbabb8b2c/clear-mru-list-in-visual-studio-2017?forum=visualstudiogeneral

Pour augmenter l'isolement et la résilience de VS 2017, il utilise désormais une ruche de registre privée. En interne, VS utilise une redirection et tandis que pour les extensions VS (qui sont des DLL), cela est transparent, pour les processus externes (qui sont des exes), cela les empêche de fonctionner.

Pour modifier manuellement les valeurs de la ruche de registre privée, vous pouvez utiliser regedit.exe pour charger une ruche privée. Vous devez sélectionner le nœud HKEY_USERS et cliquer sur le menu Fichier> Charger la ruche…. Vous sélectionnez le fichier privateregistry.bin, donnez un nom à la ruche (j'ai entré «VS2017PrivateRegistry») et maintenant vous pouvez voir la clé 15.0_Config remplie comme d'habitude (remarque: utilisez Fichier> Décharger la ruche une fois terminé):

Pour modifier les valeurs dans la ruche de registre privée par programme, vous devez soit créer une extension pour VS, soit utiliser un fichier exe externe pour utiliser la fonction RegLoadAppKey ou éviter d'utiliser directement le registre et d'utiliser le Gestionnaire des paramètres externes. Consultez la section «Modifier: réduire l'impact du Registre» dans Extensions de rupture dans Visual Studio 2017.

N'oubliez pas de décharger la ruche dans regedit avant de démarrer l'application en l'utilisant.