Kayıt defteri girdilerini, PowerShell'de son yazma zamanına / son değiştirilme zamanına göre sıralama

Dec 14 2020

PowerShell öğreniyorum, Windows 10 20H2'de PSCore7.1 kullanıyorum, şu anda bunu yapabilirim:

Get-ChildItem -Path "C:\" -Directory -Recurse -Depth 5 | Where-Object{$_.LastWriteTime.ToString("yyyy-MM-dd") -eq "2020-12-14"} | Sort-Object LastWriteTime

Belirli bir dizinin (bu durumda C :) belirli bir derinlikteki (bu durumda 5) alt klasörlerini yinelemeli olarak almak için, ardından belirli bir zaman aralığında (bu durumda bugün veya 14 Aralık 2020) değiştirilen nesneleri bulun ve son olarak zaman damgasına göre sonuçlar.

Ancak kayıt defterini görüntülemek için get-childitem komutunu çalıştırdığımda şu şekilde:

Get-ChildItem -Path "HKLM:\SOFTWARE"

Yalnızca iki öğe var: Ad ve Özellik, zaman damgası yok ve regedit.exe'de de zaman damgası yok, bu nedenle, PowerShell'i kullanarak yukarıda yayınladığım komut gibi kayıt defteri anahtarlarını en son değiştirilen zamana göre nasıl sıralayabilirim?

Düzenleme: Burada Süper Kullanıcı'da okudum Zaman damgalarını görüntülemek için Kayıt Defteri Düzenleyicisi'ndeki kayıt defteri anahtarlarını txt dosyalarına aktarabilirim, ancak basit olmasına rağmen, konsolda kayıt anahtarlarını zaman damgasına göre sıralamak istediğim için bu soru ile alakasız.

Yeniden Düzenleyin:

Bu komutu çalıştırdım:

get-childitem -path "HKLM:\"  | Get-Member

Ve işte sonuçlar:

   TypeName: Microsoft.Win32.RegistryKey

Name                      MemberType   Definition
----                      ----------   ----------
Close                     Method       void Close()
CreateSubKey              Method       Microsoft.Win32.RegistryKey CreateSubKey(string subkey), Microsoft.Win32.RegistryKey CreateSubKey(string subkey, bool writable…
DeleteSubKey              Method       void DeleteSubKey(string subkey), void DeleteSubKey(string subkey, bool throwOnMissingSubKey)
DeleteSubKeyTree          Method       void DeleteSubKeyTree(string subkey), void DeleteSubKeyTree(string subkey, bool throwOnMissingSubKey)
DeleteValue               Method       void DeleteValue(string name), void DeleteValue(string name, bool throwOnMissingValue)
Dispose                   Method       void Dispose(), void IDisposable.Dispose()
Equals                    Method       bool Equals(System.Object obj)
Flush                     Method       void Flush()
GetAccessControl          Method       System.Security.AccessControl.RegistrySecurity GetAccessControl(), System.Security.AccessControl.RegistrySecurity GetAccessCon…
GetHashCode               Method       int GetHashCode()
GetLifetimeService        Method       System.Object GetLifetimeService()
GetSubKeyNames            Method       string[] GetSubKeyNames()
GetType                   Method       type GetType()
GetValue                  Method       System.Object GetValue(string name), System.Object GetValue(string name, System.Object defaultValue), System.Object GetValue(s…
GetValueKind              Method       Microsoft.Win32.RegistryValueKind GetValueKind(string name)
GetValueNames             Method       string[] GetValueNames()
InitializeLifetimeService Method       System.Object InitializeLifetimeService()
OpenSubKey                Method       Microsoft.Win32.RegistryKey OpenSubKey(string name), Microsoft.Win32.RegistryKey OpenSubKey(string name, bool writable), Micro…
SetAccessControl          Method       void SetAccessControl(System.Security.AccessControl.RegistrySecurity registrySecurity)
SetValue                  Method       void SetValue(string name, System.Object value), void SetValue(string name, System.Object value, Microsoft.Win32.RegistryValue…
ToString                  Method       string ToString()
Property                  NoteProperty string[] Property=System.String[]
PSChildName               NoteProperty string PSChildName=BCD00000000
PSDrive                   NoteProperty PSDriveInfo PSDrive=HKLM
PSIsContainer             NoteProperty bool PSIsContainer=True
PSParentPath              NoteProperty string PSParentPath=Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE
PSPath                    NoteProperty string PSPath=Microsoft.PowerShell.Core\Registry::HKEY_LOCAL_MACHINE\BCD00000000
PSProvider                NoteProperty ProviderInfo PSProvider=Microsoft.PowerShell.Core\Registry
Handle                    Property     Microsoft.Win32.SafeHandles.SafeRegistryHandle Handle {get;}
Name                      Property     string Name {get;}
SubKeyCount               Property     int SubKeyCount {get;}
ValueCount                Property     int ValueCount {get;}
View                      Property     Microsoft.Win32.RegistryView View {get;}

Gördüğünüz gibi zaman damgası yok ...

Alıntı: Windows kayıt defteri anahtarlarında / değerlerinde yapılan değişikliklerin tarihlerini görüntülemenin herhangi bir yolu var mı?

Kanıt:

Key Name:          HKEY_CLASSES_ROOT\._bsln140
Class Name:        <NO CLASS>
Last Write Time:   2020-12-11 - 14:54
Value 0
  Name:            <NO NAME>
  Type:            REG_SZ
  Data:            VisualStudio.Launcher._bsln140

Yanıtlar

2 user19702 Dec 14 2020 at 16:21

Ne yazık ki, Windows'un kayıt defteri anahtarı bilgilerine erişme şekli nedeniyle bu durum karmaşıklaşabilir, ancak bu mümkündür. Aşağıda, Microsoft devblog'unda Dr Scripto'nun hazırladığı bir dizi eğitim bulunmaktadır:

  • kayıt defterine erişmek için powershell'i kullanma, powershell'de RegQueryInfoKeyzaman damgalarını almak için Win32 işlevinin nasıl kullanılacağını kapsar .
  • powershell kayıt defteri zaman damgası kodunu yeniden kullanmak, bu kodu bir Windows PowerShell işlevine sararak yeniden kullanılabilir bir araç oluşturmayı kapsar.
  • powershell aracılığıyla kayıt defteri anahtarı zaman damgalarından yararlanma , bazı gerçek dünya kullanımlarını kapsar.

Son ürün, Add-RegKeyLastWriteTime.ps1 olarak kaydedilen şöyle görünecek:

#requires -version 3.0

function Add-RegKeyLastWriteTime {
[CmdletBinding()]
param(
    [Parameter(Mandatory, ParameterSetName="ByKey", Position=0, ValueFromPipeline)]
    # Registry key object returned from Get-ChildItem or Get-Item
    [Microsoft.Win32.RegistryKey] $RegistryKey, [Parameter(Mandatory, ParameterSetName="ByPath", Position=0)] # Path to a registry key [string] $Path
)

 begin {
    # Define the namespace (string array creates nested namespace):
    $Namespace = "HeyScriptingGuy" # Make sure type is loaded (this will only get loaded on first run): Add-Type @" using System; using System.Text; using System.Runtime.InteropServices; $($Namespace | ForEach-Object { "namespace $_ {"
        })
            public class advapi32 {
                [DllImport("advapi32.dll", CharSet = CharSet.Auto)]
                public static extern Int32 RegQueryInfoKey(
                    Microsoft.Win32.SafeHandles.SafeRegistryHandle hKey,
                    StringBuilder lpClass,
                    [In, Out] ref UInt32 lpcbClass,
                    UInt32 lpReserved,
                    out UInt32 lpcSubKeys,
                    out UInt32 lpcbMaxSubKeyLen,
                    out UInt32 lpcbMaxClassLen,
                    out UInt32 lpcValues,
                    out UInt32 lpcbMaxValueNameLen,
                    out UInt32 lpcbMaxValueLen,
                    out UInt32 lpcbSecurityDescriptor,
                    out System.Runtime.InteropServices.ComTypes.FILETIME lpftLastWriteTime
                );
            }
        $($Namespace | ForEach-Object { "}" })
"@
   
    # Get a shortcut to the type:   
    $RegTools = ("{0}.advapi32" -f ($Namespace -join ".")) -as [type]
}
 process {
    switch ($PSCmdlet.ParameterSetName) { "ByKey" { # Already have the key, no more work to be done 🙂 } "ByPath" { # We need a RegistryKey object (Get-Item should return that) $Item = Get-Item -Path $Path -ErrorAction Stop # Make sure this is of type [Microsoft.Win32.RegistryKey] if ($Item -isnot [Microsoft.Win32.RegistryKey]) {
                throw "'$Path' is not a path to a registry key!" } $RegistryKey = $Item } } # Initialize variables that will be populated: $ClassLength = 255 # Buffer size (class name is rarely used, and when it is, I've never seen
                        # it more than 8 characters. Buffer can be increased here, though.
    $ClassName = New-Object System.Text.StringBuilder $ClassLength  # Will hold the class name
    $LastWriteTime = New-Object System.Runtime.InteropServices.ComTypes.FILETIME switch ($RegTools::RegQueryInfoKey($RegistryKey.Handle, $ClassName,
        [ref] $ClassLength, $null,  # Reserved
        [ref] $null, # SubKeyCount [ref] $null, # MaxSubKeyNameLength
        [ref] $null, # MaxClassLength [ref] $null, # ValueCount
        [ref] $null, # MaxValueNameLength [ref] $null, # MaxValueValueLength
        [ref] $null, # SecurityDescriptorSize [ref] $LastWriteTime
    )) {
         0 { # Success
            # Convert to DateTime object:
            $UnsignedLow = [System.BitConverter]::ToUInt32([System.BitConverter]::GetBytes($LastWriteTime.dwLowDateTime), 0)
            $UnsignedHigh = [System.BitConverter]::ToUInt32([System.BitConverter]::GetBytes($LastWriteTime.dwHighDateTime), 0)
            # Shift high part so it is most significant 32 bits, then copy low part into 64-bit int:
            $FileTimeInt64 = ([Int64] $UnsignedHigh -shl 32) -bor $UnsignedLow # Create datetime object $LastWriteTime = [datetime]::FromFileTime($FileTimeInt64) # Add properties to object and output them to pipeline $RegistryKey | Add-Member -NotePropertyMembers @{
                LastWriteTime = $LastWriteTime ClassName = $ClassName.ToString()
            } -PassThru -Force
        }
        122  { # ERROR_INSUFFICIENT_BUFFER (0x7a)
            throw "Class name buffer too small"
            # function could be recalled with a larger buffer, but for
            # now, just exit
        }
        default {
            throw "Unknown error encountered (error code $_)"
        }
    }
}
}

Son olarak, bir kullanım örneği:

Get-ChildItem HKCU:\ | Add-RegKeyLastWriteTime | Select Name,LastWriteTime
'
Name                                                         LastWriteTime         
----                                                         -------------         
HKEY_CURRENT_USER\AppEvents                                  7/6/2020 8:56:11 AM   
HKEY_CURRENT_USER\Console                                    7/6/2020 8:56:11 AM   
HKEY_CURRENT_USER\Control Panel                              7/6/2020 1:04:53 PM  
'