레지스트리 보기(1)

윈도우는 타 OS와 다르게 레지스트리에 의존도가 높은편이다.
때문에 어플리케이션 관련, 계정관련, 보안관련, 하드웨어관련(USB 등) 정보들 거의 대부분이 레지스트리에 기록을 남기게된다.
디지털 포렌식에서는 이를 이용해서 상당히 유용한 정보를 수집할 수 있다.

레지스트리에 관해서 간략하게 정리하겠다.
(실행창에 regedit  을 입력하면 레지스트리들을 트리구조로 볼 수 있다.)
HKEY_CLASSES_ROOT : 파일 확장자에 대한 정보. 파일과 프로그램 연결에 대한 정보. 마우스 우클릭정보 등등..

HKEY_CURRENT_USER : 현재 로그인중인 사용자들에대한 정보, 응용프로그램 관련 정보, 보안접근 허용관련 접근 등 설치된 윈도우 환경설정정보들 포함

HKEY_LOCAL_MACHINE : 하드웨어 구성 초기화 파일, 제어판과 밀접한 파일, 드라이버 정보 등등

HKEY_USERS : 이전 사용자 초기화 파일 보관, 두 키 사이가 겹치면 HKEY_CURRENT_USER가 우선시됨

HKEY-CURRENT_CONFIG : 윈도우의 디스플레이 정보와 프린터 관련 정보
 

:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU
최근 열리거나 저장된 파일목록 들어있다.(MRU : most recently used)

:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist      
사용자가 접근한(실행한) 프로그램 

:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00x\Enum\USBSTOR  
usb 장치 정보

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
의 AppInit_DLLs.  어플리케이션 실행시 로딩되는 dll
(dll injection을 이용한 악성코드는 이곳을 이용하기도 한다.)