Repertorier les cles sensibles...

[sebdraluorg]

Salut a tous,

 

Je post ici afin de solliciter votre experience et vos connaissances a tous,

afin d'etablir une liste des cles les plus souvent modifiees par les differents

programmes mals saint ...

 

Ceci dans le but de faire un petit Soft du genre StrartUpMonitor

mais avec en plus surveillance des params internet explorer....

Qui a terme sera mis en telechargement sur Zebulon

 

Pour l'instant j'en suis a 5 Cles et 2 Valeurs qui sont:

 

 ' Pour les cles de demarrage
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

' Pour les valeur des parametres internet
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Search Page"="..."
"Start Page"="..."

 

N'etant pas possible de verifier toute la Bdr en permance,

le but de ce post n'est pas de determiner toutes les cles sensibles mais

les plus importantes a surveiller.

 

Merci d'avance pour votre aide @+

Modifié le 29 mars 2005 par sebdraluorg

[higgins]

salut,

peut-etre ajouter les clé [RUN] et [RUNONCE] qui peuvent etre utilisée par les tojents et autre pour se charger au démarrage?

 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]

 

et msconfig ?

 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig]

 

higgins

[sebdraluorg]

Salut higgins,

 

Merci mais les cles RUN et RunOnce sont deja dans les 5 cles au dessus

 

Sinon pour Msconfig que veux tu surveiller dans cette cle ?

[Invité tesgaz]

Salut,

 

celles-ci aussi :

 

HKEY_USER\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run

 

HKEY__USER\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce

 

HKEY_USER\S-1223-etc\Software\Microsoft\Windows\CurrentVersion\Run

 

HKEY__USER\S-1234-etc\Software\Microsoft\Windows\CurrentVersion\RunOnce

 

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\UserInit

 

HKEY_LOCAL_MACHINESOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Appinit_Dlls

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\system\Shell

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explore\Run

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Windows\Run

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Windows\Load

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskSheduler

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explore\Browser Helper Object

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explore\ShellExecuteHooks

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\shell Extension\Approved

 

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Scripts\Logon

 

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Scripts\Logon

[sebdraluorg]

Salut,

 

Merci Tesgaz, je vois que tu connais presque tous les moyen de se lancer au demarrage

 

Par contre il y a des cles dont je m'interroge sur leur fonctionnement comme par exemple celles-ci:

HKEY_USER\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run

 

HKEY__USER\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce

 

HKEY_USER\S-1223-etc\Software\Microsoft\Windows\CurrentVersion\Run

 

HKEY__USER\S-1234-etc\Software\Microsoft\Windows\CurrentVersion\RunOnce

 

si j'enregistre un prog dans une de ces cles il ne se lance pas c'est pour ca que je ne les ai pas mises mais tu en sais peut etre plus sur ces cles ?

 

 

Sinon je ne connais pas ces cles la :

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Windows\Load

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskSheduler

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explore\Browser Helper Object

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explore\ShellExecuteHooks

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\shell Extension\Approved

 

Peux tu m'en dire plus ? a quoi elles servent ...

 

encore merci @+

[hekk]

Hello

 

Pour t'aider: avec " Autoruns "de M.Russinovitch (www.sysinternals.com)

 

tu auras des tuyaux sur tout ce qui se lance ,meme les process cachés de

win,avec des correspondances utiles /dll..

 

@+

[sebdraluorg]

Merci Hekk je l'avais dans un coin mais je l'avais completement oublie

[higgins]

Salut higgins,

 

Merci mais les cles RUN et RunOnce sont deja dans les 5 cles au dessus

 

Sinon pour Msconfig que veux tu surveiller dans cette cle ?

481555[/snapback]

 

j'avais pas les yeux en face des trous...

pour msconfig, c'est par là qu'on désactive des taches au démarrage alors j'ai pensé qu'il peux y avoir des programme qui se lancent via cette clé (ou sous-clé)

 

higgins

[sebdraluorg]

Salut a tous,

 

Eh en fait la cle Msconfig n'est utilisee que par msconfig lui meme

pour sauvegarder les programmes ou services qui ont ete desactive via msconfig de maniere a proposer de les reactiver donc je ne pense pas qu'un programme puisse se reactiver par la...

 

Sinon la cle:

....\Software\Policies\Microsoft\Windows\Scripts\Logon

si je ne me trompe pas c'est une cle qui est ajoutee par Gpedit.msc

lorsqu'on le configure pour qu'il lance un script a l'ouverture de session

comme les cles: ...\Scripts\Shutdown et ...\Scripts\Startup

mais en fait il me semble que ces cles ne sont pas "valide" si elle n'ont pas ete enregistrees via Gpedit...

Et cette option n'est dispo que sous XP PRO je pense..

 

merci de me corriger si je fais erreur quelques part @+

[macgiver]

Bonjour,

 

je recherche aussi les clés de run, il y a un site qui donne beaucoup d'infos

 

 

http://www.lacave.net/~jokeuse/usenet/demarrage.html

 

 

a+