Advanced Registry Tracer(注册表更改分析软件)

　　Advanced Registry Tracer是一款功能强大的注册表分析软件，该程序旨在帮助您监视注册表的所有更改，并支持自动创建备份，以便在需要时恢复注册表。其具备了简单直观的操作界面，打开程序后会弹出一个扫描窗口，自动扫描计算机注册表，并自动创建一个快照，而且当注册表由于部署程序或者其他原因造成更改，您还可以轻松进行对比，当出现问题时，还允许一键还原，使用非常方便，这里为您分享的是Advanced Registry Tracer，可以免费激活，有需要的朋友赶紧到本站下载吧！

软件功能

　　Advanced Registry Tracer（ART）是设计用于分析Windows注册表更改的软件。

　　安装任何软件时，可以在安装前使用ART创建Windows注册表的副本（快照），在安装后使用Windows创建另一个副本。然后，您可以比较副本并查看新软件安装进行了哪些更改。

　　您还可以使用ART分析在安装新硬件时对注册表进行的更改，比较不同计算机上的相似密钥，以及找出哪些密钥更改是由于特定系统或软件设置的修改导致的。

　　Advanced Registry Tracer比注册表监视软件（例如RegMon和Win-Expose Registry）和大多数卸载程序（CleanSweep，Uninstall等）要先进得多，后者仅监视对注册表的访问并过滤它们，经常导致错误，因为其他应用程序和系统也可以同时修改注册表。相反，ART会比较在不同时间制作的注册表的完整副本，并查找发生的每个特定更改。

　　ART可用于在指定时间段内搜索特定类型的数据更改。使用ART的高级搜索选项，您可以找到在特定日期或一段时间后更改的键。 （Windows 2000，XP）

　　使用高级搜索选项，您可以检查注册表，以确定是否存在可疑的数据类型。

　　在主窗口中，使用“属性”菜单，您可以立即查看一个键包含多少个子键和值以及它们是什么类型。

　　ART现在不仅支持以旧格式和新格式（Windows 2000，XP）导出到REG文件，而且还支持导入REG文件。现在，您可以使用ART来比较REG文件并以方便且易于理解的形式查看结果。当REG文件很大而难以手动比较时，此功能特别有用。

　　通过使用先前设置或新创建的过滤器，可以从结果中删除不必要的信息。基于REG文件创建过滤器的选项为进行各种调整提供了很多机会，这些调整通常表示为REG文件。

　　您可以使用ART探索注册表中任何键中子键的数量和类型。

软件特色

　　Advanced Registry Tracer是一个优秀的注册表实用程序，旨在帮助您随时注意在注册表上执行的每个更改。

　　该应用程序具有一个简单的界面，由于直观的布局及其整体简洁性，因此应该易于弄清楚。

　　您可以使用该实用程序查找程序安装所做的所有注册表更改，甚至回滚不需要的更改。还可以清理有问题的卸载并查找各种调整。该程序使您可以轻松创建系统和软件调整的数据库。

　　启动后，该应用程序立即开始扫描注册表，并提供找到的文件的树状列表。整个扫描过程仅需几秒钟，并涵盖了数十万个条目。

　　该工具可让您回滚所有您不同意的更改，因此注册表始终处于最佳配置。高级注册表跟踪还可以通过对注册表进行所有更改的REG文件，然后将所述文件复制到网络上的所有计算机，来帮助将同一程序安装到网络上的许多计算机上。

　　虽然该程序不是作为监视工具或专用卸载程序构建的，但它可以使您完全控制注册表，而不会影响系统性能。

　　总而言之，Advanced Registry Traces是一个很好的工具，可以在计算机上使用。尽管该应用程序的设计初衷不是为了迎合初学者的需求，但其直观的界面使您无论拥有多少经验都易于操作。

安装方法

　　1、双击安装程序进入Advanced Registry Tracer安装向导，点击【next】。

　　2、阅读许可协议，点击【I agree】按钮同意并进入下一步的安装。

　　3、选择安装位置，用户可以选择默认的C:\Program Files (x86)\ElcomSoft\Advanced Registry Tracer。

　　4、选择开始菜单文件夹，用户可以选择默认的Advanced Registry Tracer。

　　5、准备安装程序，点击【install】按钮开始进行安装。

　　6、弹出Advanced Registry Tracer安装成功窗口，点击【finish】完成安装。

　　7、先不要运行软件，打开补丁文件夹“fix”，将其中的补丁文件“Art.exe”复制到软件的安装目录，默认路径为C:\Program Files (x86)\ElcomSoft\Advanced Registry Tracer。

　　8、弹出如下的目标包含同名文件的提示，选择【替换目标中的文件】即可完成。

使用说明

　　注册表扫描

　　第一步是创建注册表的初始副本（快照）。首次运行ART时，它将自动创建快照并将扫描保存在其数据库文件（默认为ART_DB.rgf）中。

　　要手动执行此操作，请选择菜单项“注册表|注册表”。扫描或单击工具栏上的“扫描注册表注册”按钮。

　　可以采用以下三种模式中的任何一种进行扫描：

　　1）整个注册表。

　　2）当前密钥，在当前密钥字段中定义。

　　3）使用选定的过滤器（请参阅过滤器）。

　　根据注册表的大小和您的计算机资源，此过程可能仅花费几秒钟或一分钟。过程持续时间（以秒为单位）显示在状态栏上。注册表的副本以树的文件夹形式显示。扫描文件夹的名称是扫描日期。扫描称为快照。

　　注意：RAM中最多同时存储两个快照。存储在RAM中的快照称为活动快照，其文件夹为绿色。不活动的快照以灰色显示。对于非活动快照，只能访问菜单项“注释”。

　　如果要查看，比较，搜索或设置其初始扫描选项，则快照必须处于活动状态。要切换到活动模式，只需打开树的相关节点即可。唯一需要时间的过程是将文件中的数据加载到内存中。

　　如果一棵树有两个活动快照，而您打开了另一个快照，则先前打开的快照之一将根据“编辑” |“快照”中的设置关闭。设置|一般。

　　默认设置为“关闭未选中的快照”；在这种情况下，保持活动状态的快照就是包含当前选定节点的快照。

　　选择“关闭最旧的快照”或“关闭最新的快照”将关闭具有较旧或较新创建日期的快照。

　　如果选择“要求确认”，则会出现一个对话框，让您选择要关闭的快照（切换到非活动模式）。

　　仅在打开数据库文件时才可以进行扫描。该文件可能是新创建的（空），也可能包含许多扫描的快照。

　　每个新扫描的快照都会自动保存到数据库文件中。

　　可以在“编辑” |“更改”中更改ART数据库文件。设置|一般

　　扫描后，可以通过右键单击任何键的属性并选择“属性”来查看任何键的属性。

　　通过在“快照”节点上单击鼠标右键并选择“注释”，可以添加注释（最多2000个字符）。

　　在扫描过程中，计算机名称，操作系统以及（如果扫描了系统的一部分）相关的路径（键名）会自动添加到注释中。

　　搜索

　　与注册表编辑器的搜索选项相比，ART中提供了一个额外的区分大小写的搜索选项。这样可以将搜索持续时间减少到一小部分时间。您可以同时搜索主窗口中显示的所有快照。

　　您可以独立于主窗口在“比较”窗口中搜索search。

　　搜索结果显示为包含“关键路径”以及“名称和数据”的行（如果适用于搜索）。通过双击搜索结果中的一行，您可以在快照的相应键中打开一棵树，如果该行中显示的快照当时未处于活动状态，则会将其打开，这会花费一些额外的时间。如果在“查找”字段中输入关键路径，则单击“查找路径”按钮将带您进入显示该关键路径的主窗口。

　　在“高级条件”选项卡上，您可以设置搜索条件，例如数据类型，在基于NT的系统上，还可以指定修改日期范围。

　　如果您仅对注册表中的最新更改感兴趣，则此功能很有用。

　　如果您清空“查找”字段（或将其留空），ART将搜索符合您指定的任何高级标准的所有数据。

　　在“比较”窗口中显示搜索结果的唯一区别是，有一个新字段“树”，其中树对象在数据中显示为“已删除”，“已添加”或“已区别”。

　　书签

　　ART中的书签书签是注册表的键（路径）列表。

　　您可以根据需要创建任意数量的书签列表，并根据当前任务使用它们。

　　您可以在“书签”窗口中查看和编辑任何键。您对列表所做的任何更改都会同时显示在其树中，反之亦然。

　　比较方式

　　当您在主窗口中处于树的活动分支上时，可以使用“比较”按钮cmp1将其与其他对象进行比较。这将显示一个提供各种比较选项的窗口。

　　通过选择项目“第一节点”，所有可能的比较变体都会自动放入“第二节点”字段列表中。

　　您可以使用“插入选定的密钥”按钮将新的密钥放入“第一个节点”（不关闭任何其他可用活动密钥的窗口）

　　在比较模式和扫描模式下，可以通过选中标记“使用过滤器”来使用过滤器。在该字段中，您可以从可用的过滤器中选择，也可以使用过滤器编辑器（“编辑过滤器...”）来更改或创建新的过滤器。请参阅过滤器。

　　通过在比较结果上使用过滤器，您将只获得您感兴趣的那些键。如果您希望将比较结果用作撤消或重做功能的基础，则该功能特别有用。

　　ART比较以下对象：

　　两个活动快照-比较两个完整的注册表快照，或将快照的一个路径与另一路径进行比较。

　　将所选节点与当前注册表状态进行比较-以便将早期快照的特定密钥与当前注册表的相同密钥进行比较。创建此密钥的快照会进行新的扫描，然后将该密钥与早期快照中的相同密钥进行比较。如果没有差异，并且您不需要存储新扫描的密钥，则可以将其删除。请参阅删除快照。

　　可以将一个选定的节点与一个用户指定的节点进行比较-这些是来自一个注册表快照或每个来自不同快照的不同键（具有不同的路径）。在“第二个节点”中，从下拉选项中选择“使用“插入所选键”选择指定的节点”，然后单击“插入插入所选键”按钮。

　　这种比较对于比较结构相似但名称或路径不同的键很有用。例如：HKEY_USERS \ .DEFAULT和HKEY_USERS \ S-1-5-18。可以在一个快照或不同快照中进行这种比较。此模式下的过滤器不可用。

　　如果将“调整”区域中的键放在“第一节点”中，则只能通过使用过滤器“由第一节点过滤”来进行比较。要比较的另一个对象位于“第二节点”中。这可以来自当前注册表，也可以来自比较相同调整时所创建的注册表的先前快照。

　　（所有可能的快照都会自动放置在“第二节点”下拉列表中。）

　　使用以下规则，根据放置在“第一节点”中的内容自动创建过滤器项“被第一节点过滤”：包含非空值列表的分支被标记为“包含”。

　　如果只需要在“第一个节点”中选择的项中存在的键，则不仅可以对调整进行调整，还可以对其他快照使用此过滤器。选择此过滤器时，“编辑过滤器...”按钮不可用。

　　单击“比较”窗口中的“高级”按钮以在“设置”窗口中打开“比较”选项卡。

　　区分大小写–选择此选项可将键名及其值精确地与写入时进行比较，以使“ Word”显示为与“ word”不同。这大大减少了进行比较的时间。但是，Windows不会区分拼写相同的两个名称或值，而不论其字母大小写（在Windows中，“单词”与“单词”相同）。

　　在另一棵树中打开所选键–在选项卡之间切换时，这将在结果窗口的两个选项卡中打开相同的键。

　　在树节点上显示文件夹图标–在结果窗口中将每个节点显示为一个文件夹。

　　启用“重做到注册表！”按钮–因为“重做到注册表！”重做按钮很少使用，可以将其从工具栏上取下。

　　日期（来自OLD来源）|来自NEW来源的日期定义了密钥（在比较节点中）在第一个节点和第二个节点中都存在的情况下，将哪个更改日期分配给该密钥。

　　当前列表可以进行以下操作：

　　1）有两种将密钥添加到列表中的可能方法：

　　-在主窗口中突出显示所需的树键，右键单击它，然后使用上下文菜单中的功能标记键。所选的密钥将带有复选标记图标标记。

　　-在“书签”窗口的“密钥”字段中指定密钥（路径），然后单击“添加”按钮。

　　如果要保存标记或排除的数据，则应创建一个新的列表（请参见下文）。

　　2）还有三种从列表中删除密钥的可能方法：

　　-使用功能标记键取消标记标记的键。

　　-在“书签”窗口列表中突出显示该键，右键单击并选择“删除”。

　　-您可以通过取消标记取消标记所有子键的按钮来取消标记活动键的所有已标记子键。

　　3）更换。这样可以编辑突出显示的键的路径或描述。在“书签”窗口中对活动键的“键”和/或“描述”字段进行所需的更改，然后单击“替换”以应用更改。

　　4）您可以通过单击“添加描述”按钮在“描述”字段中添加或编辑活动键的描述。

　　5）要查看活动键中的所有标记的子键，请单击按钮书签查看扩展标记的键。

　　在特定树中标记了密钥之后，您还可以轻松地在其他树中用相同的路径标记所有密钥。

　　可以对列表进行以下操作：

　　1）您可以通过在“书签”窗口的“书签”字段中输入新列表名称来创建新列表。使用菜单项编辑|单击书签以打开窗口，单击“添加新列表”按钮，在屏幕上显示的“列表名称”窗口中输入新列表的名称，然后进行确认。

　　如果您没有输入名称，则创建的列表将在下一个会话之前保存。如果您只想为当前会话创建一个临时列表，而又不想以后删除它，这可能会有所帮助。

　　2）您可以通过单击“删除列表”按钮在“书签”窗口中删除活动列表（活动列表显示在“书签”字段中）。

　　比较结果窗口

　　比较两个快照时，一个标记为“第一”，另一个标记为“第二”。比较操作完成后，将显示一个结果窗口，其中包含三棵（或更少）树。

　　“仅在第一个-xx”-仅显示注册表的第一个快照中的键和值，而在第二个快照中找不到。这些键标有黄色灯泡黄球，而它们的所有子键都标有灰色灯泡grybulb。

　　在第二张快照和第一张快照中都列出了标有绿色灯泡grnbulb的键，但是它们包含不同的值名称。仅显示在第二个快照中找不到的值名称。相同的子项不会显示。

　　xx-与第一个快照相比，这是第二个快照中缺少的键和值名称的数量

　　显示数据类型的图标与“注册表编辑器”中的图标相似，不同之处在于数字类型分为三个子类型：1-双字； 2-二进制； 3-多尺寸。该数字位于每个图标的右下角。

　　第二棵树中使用了类似的符号系统（“仅第二个-xx”）。唯一的区别是，第二个快照中列出的键和值名称是在第一棵树中找不到的键和值名称。

　　第三棵树（“数据中的区别-xx”）仅列出值数据中的差异。在此树中，xx是发现值数据存在差异的对的总数。发现这种差异的钥匙用绿色灯泡柄标记。具有相同值名称的数据将显示在列中，并分别为第一个快照和第二个快照标记数字1或2。

　　如果在“设置” |“设置”中选中了“打开其他树中的选定键”复选框比较后，当您切换树时，在第二棵树中打开在第一棵树中选择的相同键（前提是它在第二棵树中存在）。

　　您可以通过选中或取消选中区分大小写复选框来运行区分大小写或不区分大小写的比较。此选项适用于键和值名称，但不适用于值数据。价值数据比较始终区分大小写。

　　通过右键单击一个键并在上下文菜单中选择（取决于活动树），在“第一位置”中查找或在“第二位置”中查找，可以在主窗口中显示相应的源密钥。

　　通过双击数据字符串，将显示“复制值”窗口，您可以在其中复制值名称和值数据。

　　调整

　　调整意味着在注册表的帮助下设置系统或单独的程序。它们通常用等效语法表示为REG文件或某些行。调整的示例位于“调整”目录中。

　　如果您将REG文件作为调整项（或具有等效语法的文本），则ART将帮助您快速安全地检查在调整项中定义的注册表项和注册表项的状态（当前仅在本地计算机上才有可能） ）。然后，如果您想将此状态更改为调整中表示的状态，则可以这样做，并且先前的状态会自动保存在ART的数据库中。

　　最方便的方法：

　　1.转到“导入importbut”窗口。

　　2.从REG文件中选择调整项，或从剪贴板复制它。

　　3.选中“作为调整导入”，然后按导入和比较按钮。

　　ART通过将调整项作为单独的快照（具有当前日期）放置在“调整项”树中，将其导入到其数据库中。然后，ART扫描注册表中与该调整相关的密钥，将找到的所有密钥作为快照放置，然后比较两个快照。

　　在“比较结果”窗口中，该调整将对应于旧快照，而注册表值将对应于新快照（请参阅比较结果）。

　　如果调整和您当前的注册表键或值不匹配，将显示“比较结果”窗口。

　　如果导入的文件或文本中有注释行，它们将自动添加到快照的注释中，您可以稍后对其进行编辑。如果没有注释行，建议您手动创建屏幕截图注释。

　　4.如果您希望您的注册表值与调整值相对应，请使用“撤消到注册表”按钮！撤消

　　请记住，必须仔细考虑任何注册表更改！

　　如果要还原以前的注册表值，则必须重复相同的比较，但是要执行重做操作：

　　1.在程序主窗口中（在“调整”树中）选择调整的任何分支，然后单击“比较cmp1”按钮。在“比较”窗口的“第一个节点”字段中，将是与您选择的调整匹配的日期。选择过滤器“按第一个节点过滤”。

　　2.“第二节点”字段将列出使用所选调整进行的所有快照（扫描）。选择您感兴趣的快照，然后按“确定”按钮开始比较过程。

　　3.在结果窗口中，单击“重做到注册表！”按钮。重做，您的注册表将在使用该调整之前恢复到以前的状态。

　　如果某个调整已导入到ART的数据库中，则可以将其与当前注册表进行比较。第一步是相同的，但第二步（在“第二节点”下拉列表中）选择“注册表”。

　　如果您不喜欢该调整的结果，则可以通过使用撤消到注册表中来轻松地将其还原！撤消。