21.4. Доступ к файлам и реестру

О программах-мониторах, протоколирующих попытки доступа к реестру и дисковым файлам, рассказывалось в разд. 14.3.2. Монитор реестра (Registry Monitor) и монитор доступа к файлам (File Monitor) — это активные инструменты.

А пассивные инструменты просто запоминают состояния реестра или файлов и по расхождениям позволяют определить, что именно изменилось.

Простейший способ обнаружить измененные файлы, не сохраняя их целиком, — подсчитать и запомнить значения хэш-функции от содержимого каждого файла до и после выполнения процесса, вносящего изменения, а потом сравнить два набора хэшей между собой. Именно на таком принципе строилась работа антивирусного монитора Adlnf, функционировавшего под DOS.

Если удалось установить, какие именно файлы подвергаются изменению, их можно целиком заархивировать, а потом, после, внесения изменений, сравнить старое и новое содержимое. Для этого можно воспользоваться специальными инструментами или утилитой FC (File Compare), входящей в состав Windows. FC позволяет сравнивать как двоичные, так и текстовые файлы.

С реестром работать не так удобно, как с файлами, из-за того, что реестр Windows представляет собой довольно сложную древовидную структуру. Зато объем данных, хранимых в реестре, сравнительно невелик — от силы несколько десятков мегабайт. Поэтому можно просто обойти все ветви реестра и сохранить значения в собственном формате. Одна из программ, позволяющих это сделать, — Advanced Registry Tracer (ART), разработанная компанией ElcomSoft Co. Ltd.

ART предоставляет пользователю возможность сохранить несколько "снимков" текущего состояния реестра. Затем отдельные снимки реестра можно попарно сравнивать, моментально получая списки добавленных, измененных и удаленных ключей и значений.