Windows Registry - Revision history

SanzSkuy at 08:47, 26 August 2025

2025-08-26T08:47:39Z

← Older revision		Revision as of 08:47, 26 August 2025
Line 1:		Line 1:
	Think of it as ~~Windows’~~ internal brain ~~🧠 —~~ tempat nyimpen semua config dan setting dari:		Think of it as Windows' internal brain; tempat nyimpen semua config dan setting dari:
	*Hardware (printer, USB, network)		*Hardware (printer, USB, network)
	*Software (program terinstall)		*Software (program terinstall)
Line 40:		Line 40:
	#:*Driver		#:*Driver
	#:*Installed software		#:*Installed software
	#:*Startup apps (biasanya malware suka nyelip di sini 👀)		#:*Startup apps (biasanya malware suka nyelip di sini)
	#:*Security policy		#:*Security policy
	#:*Services		#:*Services

SanzSkuy at 08:24, 20 May 2025

2025-05-20T08:24:55Z

← Older revision		Revision as of 08:24, 20 May 2025
Line 55:		Line 55:
	#HKEY_CURRENT_CONFIG (HKCC)		#HKEY_CURRENT_CONFIG (HKCC)
	#:Isinya config hardware profile aktif saat ini (kayak monitor, display settings, printer). Ini bukan setting tetap, tapi kayak cache/snapshot dari HKLM pas boot. Berguna kalau kita nyari setting hardware yang cuma muncul pas kondisi tertentu (e.g. safe mode, boot pakai profil X).		#:Isinya config hardware profile aktif saat ini (kayak monitor, display settings, printer). Ini bukan setting tetap, tapi kayak cache/snapshot dari HKLM pas boot. Berguna kalau kita nyari setting hardware yang cuma muncul pas kondisi tertentu (e.g. safe mode, boot pakai profil X).

			= Registry Hive =
			Registry Windows adalah database yang menyimpan pengaturan sistem, konfigurasi aplikasi, dan informasi pengguna.
			Kita bisa membuka Registry Editor (regedit.exe) dan melihat semua root keys (seperti HKEY_LOCAL_MACHINE, HKEY_USERS, dll)
			Jika kita berada dalam live SYSTEM. Namun, kalau kita hanya memiliki disk image (salinan hard disk/partisi),
			kita perlu tahu di mana file registry (disebut hives) disimpan.

			== Registry Hives Utama (Lokasi: C:\Windows\System32\Config) ==
			File-file berikut adalah hive registry utama yang terkait dengan sistem:
			*'''DEFAULT''' → Di-mount ke HKEY_USERS\DEFAULT
			*'''SAM''' → Di-mount ke HKEY_LOCAL_MACHINE\SAM
			*'''SECURITY''' → Di-mount ke HKEY_LOCAL_MACHINE\SECURITY
			*'''SOFTWARE''' → Di-mount ke HKEY_LOCAL_MACHINE\SOFTWARE
			*'''SYSTEM''' → Di-mount ke HKEY_LOCAL_MACHINE\SYSTEM
			Hive-hive ini menyimpan pengaturan sistem global, seperti konfigurasi hardware, kebijakan keamanan, dan daftar program yang terinstal.

			== Hive untuk Informasi Pengguna (Lokasi: C:\Users\username\) ==
			Setiap pengguna di Windows memiliki hive registry sendiri:
			*NTUSER.DAT → Di-mount ke HKEY_CURRENT_USER saat pengguna login.
			**Lokasi: C:\Users\username\ (file tersembunyi).
			**Berisi preferensi pengguna, history program, dan pengaturan aplikasi.
			*USRCLASS.DAT → Di-mount ke HKEY_CURRENT_USER\Software\CLASSES.
			**Lokasi: C:\Users\username\AppData\Local\Microsoft\Windows\.
			**Menyimpan informasi terkait aplikasi (seperti file associations dan COM objects).
			Catatan: Kedua file ini tersembunyi (hidden), jadi pastikan untuk menampilkan file tersembunyi di Explorer.

			== Amcache Hive (Lokasi: C:\Windows\AppCompat\Programs\Amcache.hve) ==
			Hive ini mencatat informasi tentang program yang baru dijalankan di sistem.
			Berguna untuk forensik karena bisa menunjukkan jejak aktivitas pengguna (misal: program yang dijalankan, waktu eksekusi, dll).

			== Transaction Logs (.LOG) dan Backup Registry ==
			Transaction Logs (.LOG, *.LOG1, dll):
			**Terletak di folder yang sama dengan hive registry (misal: C:\Windows\System32\Config\SAM.LOG).
			**Menyimpan perubahan terakhir yang belum disimpan ke hive utama.
			**Berguna untuk melacak modifikasi registry yang belum terlihat di hive asli.
			*Backup Registry (Lokasi: C:\Windows\System32\Config\RegBack):
			**Windows secara otomatis membuat backup registry setiap 10 hari.
			**Jika ada registry yang dihapus/dimodifikasi, Anda bisa memeriksa backup ini untuk memulihkan data lama.

			Penting untuk forensics, Registry forensics bisa mengungkap:
			*Program yang dijalankan (dari Amcache/NTUSER.DAT).
			*Perubahan sistem mencurigakan (dari SOFTWARE/SYSTEM hive).
			*Jejak aktivitas pengguna (history, file terakhir dibuka, dll).
			Selalu periksa file tersembunyi (seperti NTUSER.DAT) dan log/backup untuk bukti tambahan.

SanzSkuy: Created page with "Think of it as Windows’ internal brain 🧠 — tempat nyimpen semua config dan setting dari: Hardware (printer, USB, network) Software (program terinstall) User info (akun, recent files, preferences) System settings (startup apps, drivers, dll) = Struktur Registry = Windows Registry disusun kayak folder-folder, tapi bukan file biasa. Ada 3 komponen penting: {| class="wikitable" style="margin:left" |- ! Komponen !! Deskripsi |- | 🗂️ Keys || Mirip folder —..."

2025-05-19T09:56:29Z

Created page with "Think of it as Windows’ internal brain 🧠 — tempat nyimpen semua config dan setting dari: *Hardware (printer, USB, network) *Software (program terinstall) *User info (akun, recent files, preferences) *System settings (startup apps, drivers, dll) = Struktur Registry = Windows Registry disusun kayak folder-folder, tapi bukan file biasa. Ada 3 komponen penting: {| class="wikitable" style="margin:left" |- ! Komponen !! Deskripsi |- | 🗂️ Keys || Mirip folder —..."

New page

Think of it as Windows’ internal brain 🧠 — tempat nyimpen semua config dan setting dari:
*Hardware (printer, USB, network)
*Software (program terinstall)
*User info (akun, recent files, preferences)
*System settings (startup apps, drivers, dll)

= Struktur Registry =
Windows Registry disusun kayak folder-folder, tapi bukan file biasa. Ada 3 komponen penting:
{| class="wikitable" style="margin:left"
|-
! Komponen !! Deskripsi
|-
| 🗂️ Keys || Mirip folder — tempat nyimpen "subkey" dan "values"
|-
| 🧾 Values || Data di dalam Key. Bisa angka, string, path, atau binary
|-
| 📦 Hives || Sekumpulan keys + values, disimpen sebagai file fisik di disk (kayak NTUSER.DAT, SYSTEM, dll)
|}

= 5 Root Keys Penting =
#HKEY_CURRENT_USER (HKCU)
#:Config spesifik buat user yang lagi login sekarang.
#:Isinya:
#:*Folder user (Desktop, Documents, dsb)
#:*Warna tema, wallpaper, font
#:*Setting Control Panel
#:*Software preferences
#:🕵️‍♀️ Forensik vibes: Di sinilah biasanya malware ninggalin jejak config user (kayak autorun script user-level).
#HKEY_USERS (HKU)
#:Semua user profile yang lagi loaded di sistem.
#:Isinya Subkey buat tiap user, contoh:
#:*S-1-5-21-... ➜ ID user
#:*S-1-5-18 ➜ SYSTEM
#:*S-1-5-19 ➜ Local Service
#:HKCU itu shortcut ke salah satu key di sini (user yang aktif). Gunanya bisa buat baca config user lain walau kita bukan user itu (kalau kita punya aksesnya)
#HKEY_LOCAL_MACHINE (HKLM)
#:Config global buat seluruh komputer, bukan cuma satu user.
#:Isinya:
#:*Info hardware
#:*Driver
#:*Installed software
#:*Startup apps (biasanya malware suka nyelip di sini 👀)
#:*Security policy
#:*Services
#:Sering dianalisis saat nyari persistence malware atau settingan yang ngepengaruhi semua user.
#HKEY_CLASSES_ROOT (HKCR)
#:Merged view buat file association dan class registration (alias: apa yang kebuka pas double-click file .txt).
#:Isinya campuran dari:
#:*HKLM\Software\Classes ➜ Default untuk semua user
#:*HKCU\Software\Classes ➜ Override user spesifik
#:Note: Kalau kita nulis ke HKCR, Windows akan milih sendiri tempatnya:
#:*Kalau key-nya udah ada di HKCU, dia tulis di sana
#:*Kalau belum, dia tulis ke HKLM
#:Ini penting buat nge-track hijack file association. Contoh: malware bikin file .pdf dibuka pakai exe mereka.
#HKEY_CURRENT_CONFIG (HKCC)
#:Isinya config hardware profile aktif saat ini (kayak monitor, display settings, printer). Ini bukan setting tetap, tapi kayak cache/snapshot dari HKLM pas boot. Berguna kalau kita nyari setting hardware yang cuma muncul pas kondisi tertentu (e.g. safe mode, boot pakai profil X).