Файл: Руссинович М., Маргозис А. Утилиты Sysinternals. Справочник администратора 2012.pdf

152  Часть 

II   

Работа с утилитами

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit

HKLM\SYSTEM\CurrentControlSeAControl\SafeBoot\AIternateShell

HKLM\System\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\
StartupPrograms

Общесистемные ASEP из реестра, предназначенные для управления 
через групповую политику

HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\Shell

HKLM\Software\Policies\Microsoft\Windows\System\Scripts\Logon

HKLM\Software\Policies\Microsoft\Windows\System\Scripts\Logoff

HKLM\Software\Policies\Microsoft\Windows\System\Scripts\Startup

HKLM\Software\Policies\Microsoft\Windows\System\Scripts\Shutdown

HKLM\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\Startup

HKLM\Software\Microsoft\Windows\CurrentVersion\Group Policy\Scripts\
Shutdown

Общесистемные ASEP из реестра (только 64-разрядные системы)

HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run

HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce

HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnceEx

HKLM\SOFTWARE\Wow6432Node\Microsoft\ActiveSetup\lnstalled Components

Общесистемные ASEP ActiveSync из реестра

HKLM\SOFTWARE\Microsoft\Windows CE Services\AutoStartOnConnect

HKLM\SOFTWARE\Microsoft\WindowsCEServices\AutoStartOnDisconnect

Общесистемные ASEP ActiveSync из реестра, только 64-разрядные системы

HKLM\SOFTWARE\Wow6432Node\Microsoft\WindowsCEServices\
AutoStartOnConnect

HKLM\SOFTWARE\Wow6432Node\Microsoft\WindowsCEServices\
AutoStartOnDisconnect

Категория Explorer

На этой вкладке перечислены общие элементы автозапуска, связанные на-
прямую с Проводником Windows, обычно запускаемые в процессе Explorer.
exe. Большинство этих элементов — общесистемные, но среди них есть и не-
сколько пользовательских. Ключевые элементы с этой вкладки:
•  расширения оболочки, добавляющие элементы в контекстные меню, из-

меняющие страницы свойств и управляющие отображением столбцов в 
окнах папок;

•  расширения пространств имен, такие как Рабочий стол (Desktop), Па-

нель управления (Control Panel) и Корзина (Recycle Bin), а также рас-
ширения пространств имен сторонних производителей;

SIN_ch_05.indd   152

27.12.2011   14:17:57

Autoruns 

Глава 5  153 

•  подключаемые обработчики пространств имен, обрабатывающие стан-

дартные протоколы, такие как http, ftp и mailto, а также расширения Mi-
crosoft или сторонних производителей, такие как about, mk и res;

•  подключаемые фильтры MIME.

В 64-разрядных версиях Windows внутрипроцессные компоненты, такие 

как библиотеки DLL, могут загружаться только в процессы, созданные для 
той же архитектуры процессора. Например, расширения оболочки, реали-
зованные как 32-разрядные DLL, могут загружаться только в 32-разрядную 
версию Проводника, а в 64-разрядных системах по умолчанию используется 
64-разрядная версия Проводника. Поэтому не все расширения работают в 
64-разрядных системах.

Ниже приведен список расположений ASEP из категории Explorer, кото-

рые Autoruns проверяет в 64-разрядных версиях Windows 7.

Пользовательские ASEP из раздела HKCU\Software

HKCU\Software\Classes\*\ShellEx\ContextMenuHandlers

HKCU\Software\Classes\*\ShellEx\PropertySheetHandlers

HKCU\Software\Classes\AIIFileSystemObjects\ShellEx\ContextMenuHandlers

HKCU\Software\Classes\AIIFileSystemObjects\ShellEx\DragDropHandlers

HKCU\Software\Classes\AIIFileSystemObjects\ShellEx\PropertySheetHandlers

HKCU\Software\Classes\Directory\Background\ShellEx\ContextMenuHandlers

HKCU\Software\Classes\Directory\ShellEx\ContextMenuHandlers

HKCU\Software\Classes\Directory\Shellex\CopyHookHandlers

HKCU\Software\Classes\Directory\Shellex\DragDropHandlers

HKCU\Software\Classes\Directory\Shellex\PropertySheetHandlers

HKCU\Software\Classes\Folder\Shellex\ColumnHandlers

HKCU\Software\Classes\Folder\ShellEx\ContextMenu Handlers

HKCU\Software\Classes\Folder\ShellEx\DragDropHandlers

HKCU\Software\Classes\Folder\ShellEx\ExtShellFolderViews

HKCU\Software\Classes\Folder\ShellEx\PropertySheetHandlers

HKCU\SOFTWARE\Classes\Protocols\Filter

HKCU\SOFTWARE\Classes\Protocols\Handler

HKCU\Software\Microsoft\Ctf\LangBarAddin

HKCUXSOFTWAREXMicrosoftMnternetExplorerXDesktopXComponents

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShelllconOverlay 
ldentifiers

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObject 
DelayLoad

SIN_ch_05.indd   153

27.12.2011   14:17:57

154  Часть 

II   

Работа с утилитами

Общесистемные ASEP из реестра

HKLM\Software\Classes\*\ShellEx\ContextMenuHandlers

HKLM\Software\Classes\*\ShellEx\PropertySheetHandlers

HKLM\Software\Classes\AIIFileSystemObjects\ShellEx\ContextMenuHandlers

HKLM\Software\Classes\AIIFileSystemObjects\ShellEx\DragDropHandlers

HKLM\Software\Classes\AIIFileSystemObjects\ShellEx\PropertySheetHandlers

HKLM\Software\Classes\Directory\Background\ShellEx\ContextMenuHandlers

HKLM\Software\Classes\Directory\ShellEx\ContextMenu Handlers

HKLM\Software\Classes\Directory\Shellex\CopyHookHandlers

HKLM\Software\Classes\Directory\Shellex\DragDropHandlers

HKLM\Software\Classes\Directory\Shellex\PropertySheetHandlers

HKLM\Software\Classes\Folder\Shellex\ColumnHandlers

HKLM\Software\Classes\Folder\ShellEx\ContextMenuHandlers

HKLM\Software\Classes\Folder\ShellEx\DragDropHandlers

HKLM\Software\Classes\Folder\ShellEx\ExtShellFolderViews

HKLM\Software\Classes\Folder\ShellEx\PropertySheetHandlers

HKLM\SOFTWARE\Classes\Protocols\Filter

HKLM\SOFTWARE\Classes\Protocols\Handler

HKLM\Software\Microsoft\Ctf\LangBarAddin

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
SharedTaskScheduler

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Shelllcon
Overlayldentifiers

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

Общесистемные ASEP из реестра (только в 64-разрядных системах)

HKLM\Software\Wow6432Node\Classes\Directory\Shellex\CopyHookHandlers

HKLM\Software\Wow6432Node\Classes\Directory\Shellex\DragDropHandlers

HKLM\Software\Wow6432Node\Classes\Directory\Shellex\PropertySheetHandlers

HKLM\Software\Wow6432Node\Classes\Folder\Shellex\ColumnHandlers

HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ 
SharedTaskScheduler

HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\
ShellExecuteHooks

HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\ 
ShelllconOverlayldentifiers

HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\
ShellServiceObjectDelayLoad

SIN_ch_05.indd   154

27.12.2011   14:17:57

Autoruns 

Глава 5  155 

Категория Internet Explorer

Обозреватель Internet Explorer предоставляет немалые возможности для 
расширения: интерфейсы для работы с панелями, такими как Избранное 
(Favorites) и История (History), панелями инструментов, настраиваемы-
ми элементами меню и кнопками. А вспомогательные объекты обозревателя 
(Browser Helper Objects, BHO) предоставляют почти неограниченные воз-
можности для расширения функциональности Internet Explorer.

Поскольку пользователи проводят много времени за работой в обозрева-

теле, и через него проходит много конфиденциальной информации (такой 
как пароли и данные кредитных карт), он стал основной целью злоумыш-
ленников. Те же программные интерфейсы, что обеспечивают интеграцию 
со сторонними программами для чтения документов и обмена сообщения-
ми, используются и для кражи информации, рассылки спама и других вре-
доносных действий.

Ниже приведен список расположений ASEP из категории Internet Explo-

rer, которые Autoruns проверяет в 64-разрядных версиях Windows 7.

Пользовательские ASEP из раздела HKCU\Software

HKCU\Software\Microsoft\lnternet Explorer\Explorer Bars

HKCU\Software\Microsoft\lnternet Explorer\Extensions

HKCU\Software\Microsoft\InternetExplorer\UrlSearchHooks

Общесистемные ASEP из реестра

HKLM\Software\Microsoft\lnternet Explorer\Explorer Bars

HKLM\Software\Microsoft\lnternet Explorer\Extensions

HKLM\Software\Microsoft\lnternetExplorer\Toolbar

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

Пользовательские и общесистемные ASEP из реестра (только в 64-разрядных 
системах)

HKCU\Software\Wow6432Node\Microsoft\lnternet Explorer\Explorer Bars

HKCU\Software\Wow6432Node\Microsoft\lnternet Explorer\Extensions

HKLM\Software\Wow6432Node\Microsoft\lnternet Explorer\Explorer Bars

HKLM\Software\Wow6432Node\Microsoft\lnternet Explorer\Extensions

HKLM\Software\Wow6432Node\Microsoft\lnternet Explorer\Toolbar

HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects

Категория Scheduled Tasks

На вкладке Scheduled Tasks (Запланированные задания) отображают-
ся элементы, запускаемые Планировщиком Windows (Task Scheduler). 
Планировщик заданий запускать программы по фиксированному графи-

SIN_ch_05.indd   155

27.12.2011   14:17:57

156  Часть 

II   

Работа с утилитами

ку или при возникновении некоторых событий, таких как вход пользова-
теля в систему или простой компьютера в течение определенного времени. 
Команды, выполняемые At.exe, также входят в этот список. В Windows Vista 
Планировщик значительно усовершенствован, и Windows активно исполь-
зует его, так что список элементов на этой вкладке будет довольно длинным, 
если не скрыть системные элементы Windows.

Так как задачи можно отключать (в отличие от элементов меню Пуск), 

при снятии флажка в Autoruns задача Планировщика отключается, а не ко-
пируется в резервную папку

2

.

Если в меню элемента запланированного задания выбрать команду, 

Autoruns откроет Планировщик, но переход к выбранному элементу выпол-
нен не будет.

Категория Services

Службы Windows работают в неинтерактивных процессах в режиме пользо-
вателя, которые можно настроить для запуска независимо от входа пользова-
телей в систему. Управление службами выполняется при помощи стандарт-
ного интерфейса Диспетчера служб (Service Control Manager). Один про-
цесс может совместно использоваться несколькими службами. Наглядный 
пример — Svchost.exe (хост-процесс для служб Windows), предназначенный 
для служб, реализованных в отдельных библиотеках DLL.

Службы настраиваются в подразделах HKLM\System\CurrentControlSet\

Services. Значение Start в каждом подразделе определяет, будет ли запу-
скаться служба, и если будет, то как.

На вкладке Services (Службы) перечислены службы, которые не были 

отключены, если только они не отключены с помощью Autoruns (это мож-
но понять по присутствию значения AutorunsDisabled в том же разделе). 
Содержимое поля Description (Описание) берется из текста или ресурса, 
указанного значением Description в разделе конфигурации. В столбце пути 
к образу показан путь к исполняемому файлу службы; для службы, работаю-
щей в Scvhost, — путь к DLL, указанный значением ServiceDll из раздела ре-
естра для этой службы или его подраздела Parameters. Для просмотра раз-
дела Parameters некоторых служб в некоторых версиях Windows требуются 
администраторские права, если их нет, в таких случаях Autoruns показывает 
путь к Svchost.exe.

Отключайте или удаляйте автозапуск служб только со знанием дела. 

Неправильные действия могут снизить производительность системы, сде-
лать ее нестабильной или привести к невозможности загрузки. Опять же, 
заметьте, что отключение или удаление элемента службы не останавливает 
эту службу, если она уже запущена.

2

 Во время написания книги задания At нельзя было отключать в Windows Vista и выше 

ни с помощью Autoruns, ни через Планировщик, но можно было удалять.

SIN_ch_05.indd   156

27.12.2011   14:17:57