Bagaimana Anda Menemukan Tanggal 'Terakhir Dimodifikasi' untuk Layanan di Windows?

Jika Anda memiliki sistem Windows yang dikompromikan dan ingin menganalisis kapan layanan diinstal atau dimodifikasi, lalu bagaimana Anda melakukannya? Posting Q&A Pengguna Super hari ini memiliki jawaban atas pertanyaan pembaca yang penasaran.

Sesi Tanya Jawab hari ini datang kepada kami berkat SuperUser-subdivisi Stack Exchange, pengelompokan situs web Q&A berbasis komunitas.

Tangkapan layar Notepad milik Flyk (SuperUser).

Pertanyaan

Pembaca SuperUser, Lucas Kauffman ingin tahu cara menemukan Tanggal Pembuatan (atau Tanggal Dimodifikasi Terakhir) untuk layanan di Windows:

Jika Anda memiliki sistem operasi yang dikompromikan yang Anda coba analisis untuk layanan yang baru diinstal atau ketika layanan diinstal, bagaimana Anda melakukannya? Di mana saya dapat menemukan Tanggal Pembuatan untuk layanan tertentu di registri Windows?

Bagaimana Anda menemukan Tanggal Pembuatan atau Tanggal Dimodifikasi Terakhir untuk layanan di Windows?

Jawabannya

Kontributor SuperUser, Flyk dan Andrew Medico memiliki jawaban untuk kami. Pertama, Flyk:

Tidak ada cara untuk menentukan Tanggal Pembuatan untuk layanan Windows tertentu karena applet layanan dan registri Windows tidak menyimpan tanggal yang terkait dengan pembuatan.

Namun demikian, ada Tanggal Dimodifikasi Terakhir yang tersembunyi jauh dari tampilan (bahkan di editor registri Windows), tetapi dapat diakses menggunakan RegQueryInfoKey. Karena semua layanan Windows disimpan dalam registri, Anda dapat memeriksa Tanggal Dimodifikasi Terakhir terhadap kunci registri yang terkait dengan layanan yang dimaksud dengan melihat ke dalam HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services.

Atau, jika Anda mengekspor kunci registri yang Anda inginkan informasi tentang sebagai file teks, Anda akan melihat Tanggal Dimodifikasi Terakhir untuk setiap kunci ditulis dalam file teks.

Akhirnya, solusi menggunakan PowerShell untuk mengembalikan Tanggal Dimodifikasi Terakhir sudah dibahas di Stack Overflow.

Diikuti oleh jawaban dari Andrew Medico:

Dimulai dengan Vista, pembuatan layanan login ke Log Peristiwa Sistem dibawah ID Kejadian Kontrol Kontrol Layanan 7045.

Misalnya, perintah berikut:

Menghasilkan entri log peristiwa berikut:

Punya sesuatu untuk ditambahkan ke penjelasan? Berbunyi dalam komentar. Ingin membaca lebih banyak jawaban dari pengguna Stack Exchange yang mengerti teknologi lainnya? Lihat utas diskusi lengkap di sini.