Bagaimana Anda Cari Tarikh 'Diperbaharui Terakhir' untuk Perkhidmatan di Windows?

Sekiranya anda mempunyai sistem Windows yang dikompromi dan mahu menganalisis apabila perkhidmatan dipasang atau diubah suai, maka bagaimanakah anda melakukannya? Siaran Q & A SuperUser hari ini mempunyai jawapan kepada soalan pembaca yang ingin tahu.

Sesi Soalan & Jawapan hari ini datang kepada kami dengan ihsan SuperUser-bahagian pembahagian Stack Exchange, kumpulan yang diketuai oleh komuniti laman web Q & A.

Petikan notepad dari Flyk (SuperUser).

Soalan

Pembaca SuperUser Lucas Kauffman ingin tahu bagaimana untuk mencari Tarikh Penciptaan (atau Tarikh diubah suai yang terakhir) untuk perkhidmatan dalam Windows:

Jika anda mempunyai sistem operasi yang dikompromi yang anda cuba analisa untuk perkhidmatan yang baru dipasang atau ketika perkhidmatan dipasang, bagaimana anda melakukannya? Di mana saya boleh mencari Tarikh Penciptaan untuk perkhidmatan tertentu dalam registri Windows?

Bagaimana anda mencari Tarikh Penciptaan atau Tarikh diubah suai yang terakhir untuk perkhidmatan di Windows?

Jawapan

Penyumbang SuperUser Flyk dan Andrew Medico mempunyai jawapan untuk kami. Pertama, Flyk:

Tidak ada cara untuk menentukan Tarikh Penciptaan untuk perkhidmatan Windows tertentu kerana kedua-dua applet perkhidmatan dan pendaftaran Windows tidak menyimpan sebarang tarikh yang berkaitan dengan penciptaan.

Walau bagaimanapun, terdapat a Tarikh diubah suai yang terakhir yang tersembunyi dari pandangan (walaupun dalam editor registri Windows), tetapi boleh diakses menggunakan RegQueryInfoKey. Oleh kerana semua perkhidmatan Windows disimpan dalam pendaftaran, anda boleh menyemak Tarikh diubah suai yang terakhir terhadap kekunci pendaftaran yang berkaitan dengan perkhidmatan yang dimaksudkan dengan melihat HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services.

Sebagai alternatif, jika anda mengeksport kunci registri yang anda mahu maklumat sebagai fail teks, anda akan melihatnya Tarikh diubah suai yang terakhir untuk setiap kunci ditulis dalam fail teks.

Akhir sekali, penyelesaian menggunakan PowerShell untuk mengembalikannya Tarikh diubah suai yang terakhir telah dibincangkan di Stack Overflow.

Diikuti oleh jawapan daripada Andrew Medico:

Bermula dengan Vista, penciptaan perkhidmatan telah dilog masuk ke Log Peristiwa Sistem di bawah Pengurus Kawalan Perkhidmatan ID Peristiwa 7045.

Sebagai contoh, arahan berikut:

Mengeluarkan catatan log acara berikut:

Mempunyai sesuatu untuk menambah penjelasannya? Bunyi dalam komen. Ingin membaca lebih banyak jawapan dari pengguna Stack Exchange yang berteknologi tinggi? Lihat thread perbincangan penuh di sini.