Como você encontra a data da última modificação para serviços no Windows?
Se você tem um sistema Windows comprometido e deseja analisar quando os serviços foram instalados ou modificados, como você faz isso? A postagem de perguntas e respostas do SuperUser de hoje tem as respostas para a pergunta de um curioso leitor.
A sessão de perguntas e respostas de hoje nos é oferecida por cortesia do SuperUser - uma subdivisão do Stack Exchange, um agrupamento de sites de perguntas e respostas conduzido pela comunidade..
Screenshot do bloco de notas cortesia de Flyk (SuperUser).
A questão
Leitor de SuperUser Lucas Kauffman quer saber como encontrar o Data de criação (ou Data da última modificação) para serviços no Windows:
Se você tem um sistema operacional comprometido que está tentando analisar para serviços recém-instalados ou quando os serviços foram instalados, como você faz isso? Onde posso encontrar o Data de criação para um serviço específico no registro do Windows?
Como você encontra o Data de criação ou Data da última modificação para serviços no Windows?
A resposta
Os contribuidores do SuperUser, Flyk e Andrew Medico, têm a resposta para nós. Primeiro, Flyk:
Não há como determinar o Data de criação para um determinado serviço do Windows, pois o applet de serviços e o registro do Windows não armazenam nenhuma data relacionada à criação.
Há, no entanto, um Data da última modificação que está escondido da vista (mesmo no editor de registro do Windows), mas pode ser acessado usando RegQueryInfoKey. Como todos os serviços do Windows são armazenados no registro, você pode verificar Data da última modificação contra as chaves do registro relacionadas ao serviço em questão, olhando em HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services.
Como alternativa, se você exportar as chaves do Registro nas quais deseja obter informações como arquivo de texto, verá Data da última modificação para cada chave está escrito no arquivo de texto.
Finalmente, uma solução usando o PowerShell para retornar Data da última modificação já foi discutido no Stack Overflow.
Seguido pela resposta de Andrew Medico:
A partir do Vista, a criação do serviço é registrada no Log de eventos do sistema debaixo ID do Evento de Controle de Serviço 7045.
Por exemplo, o seguinte comando:
Produziu a seguinte entrada de log de eventos:
Tem algo a acrescentar à explicação? Som desligado nos comentários. Quer ler mais respostas de outros usuários do Stack Exchange com experiência em tecnologia? Confira o tópico de discussão completo aqui.
