Я смотрю на выгруженные файлы компьютера с Windows XP. У меня нет доступа к реестру, просто все файлы с самого компьютера. Я хочу выяснить, в какую дату была установлена операционная система, но большинство онлайн-ответов говорят либо о том, чтобы заглянуть в Реестр, либо использовать команду systeminfo чтобы найти ее (а программа systeminfo.exe очевидно, не запускается, потому что у нее нет Реестр для проверки некоторых его частей).

Так есть ли способ узнать, на какую дату Windows была установлена без доступа к реестру? Какой файл проверяет systeminfo для получения этой информации? Или он использует реестр?

3 ответа3

4

Если у вас есть папка Windows с вашего мертвого ПК в качестве резервной копии, то у вас есть все, что вам нужно.

Вы можете загрузить реестр мертвого ПК в редактор реестра. После этого вы можете посмотреть под

HKEY_LOCAL_MACHINE\<deadRegistry>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\InstallDate 

Шаг за шагом

  1. Откройте редактор реестра (Win+R »regedit.exe)
  2. Выберите HKEY_LOCAL_MACHINE
    (Странно, этот шаг нужен. В противном случае Файл »Загрузить Hive выделен серым цветом)
  3. В строке меню выберите Файл »Загрузить куст ...
  4. Перейдите к и откройте

    <your Windows backup>\Windows\system32\config\SOFTWARE
    

    SOFTWARE - это файл, который нам нужен в нашем случае, поскольку он содержит дату установки. Но есть и другие файлы, которые содержат другие части вашего мертвого реестра

  5. Новый ключ будет создан под вашим ключом HKEY_LOCAL_MACHINE. Дайте этому значимое имя, как Dead PC Software Hive

  6. Теперь вы должны быть в состоянии перейти к

    HKEY_LOCAL_MACHINE\<Dead PC Software Hive>\SOFTWARE\Microsoft\Windows NT\CurrentVersion
    
  7. На правой панели вы увидите REG_DWORD с именем InstallDate и его значением. Например мой показывает 59e074ec . Вы можете преобразовать значение HEX или DEZ с помощью любого онлайн-конвертера в читаемый формат

  8. Не забудьте выгрузить улей, когда закончите. Выберите ключ Dead PC Software Hive и нажмите File » Unload Hive...

Использованные ресурсы

1

Просмотр событий может пролить свет на это, если журналы возвращаются к установке системы.

В Windows XP это будут файлы .evt, которые хранятся в %SystemRoot%\System32\Config

Вы должны иметь возможность открыть их в средстве просмотра событий на работающем компьютере Windows, щелкнув правой кнопкой мыши запись средства просмотра событий (локальная) в верхней части дерева и выбрав Открыть сохраненный журнал ...

0

Я всегда делал это в XP, заходя в C:\ в Проводнике, щелкая правой кнопкой мыши по папке Windows, выбирая Свойства и просматривая дату "Создано".

Если вы просматриваете файлы с исходного установочного жесткого диска (в отличие от резервной копии, которая могла быть создана позже), это должно быть точным.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками .