[Python] Lecture du registre Windows

[supersnail]

Bonjour à tous,

Je partage ici une petite bibliothèque python qui permet de parser les fichiers de registre (habituellement situés dans c:\windows\system32\config ), ce qui peut être intéressant dans le cas d'une analyse forensique (analyse d'un PC "post-mortem"), depuis un live-cd (ou une clé bootable) Linux.

Vous pouvez la télécharger ici: https://github.com/williballenthin/python-registry

J'en ai profité pour concevoir 2 petits scripts utilisant cette bibliothèque pour extraire les services lancés au démarrage et pour détecter les BHOs d'Internet Explorer/Explorateur Windows (veuillez m'excuser pour le manque de commentaires, c'est pas mon point fort ^^).

Le code pour lister les services installés:

Code PYTHON :

#!/usr/bin/python2

import sys
from Registry import *

if len(sys.argv) != 2:
    print "Usage: " + sys.argv[0] + " <path to 'config\system'>"
else:
    try:
        reg = Registry.Registry(sys.argv[1])
        key = reg.open("Select")
        ctrlset = key.value("Current").value() # récupère le control set utilisé par Windows
    except Exception:
        print "[-] This is not the system file ! (or this file is corrupted)"
        sys.exit(0)
    key = reg.open("ControlSet00" + str(ctrlset) + "\Services")
    for svc in key.subkeys():
        try:
            path = svc.value("ImagePath").value()
            print "----------------"
            print "Path: " + path
            print "Display name: " + svc.value("DisplayName").value()
        except Exception:
            ()
 

Le code pour lister les BHO:

Code PYTHON :

#!/usr/bin/python2

import sys
from Registry import *


def print_bhos(reg, keyname):
    key = reg.open(keyname)
    for bho in key.subkeys():
        try:
            dllname = reg.open("Classes\CLSID\\" + bho.name() + "\InprocServer32")
            print dllname.value("").value()
        except Registry.RegistryKeyNotFoundException:
            print "DLL not found"

if len(sys.argv) != 2:
    print "Usage: " + sys.argv[0] + " <path to 'config\software'>"
else:
    reg = Registry.Registry(sys.argv[1])
    print_bhos(reg, "Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects")
    print_bhos(reg, "Microsoft\Internet Explorer\Toolbar")
    print_bhos(reg, "Microsoft\Internet Explorer\Explorer Bars")
    print_bhos(reg, "Microsoft\Internet Explorer\Extensions")

Enjoy :þ