Просмотр статистики по количеству запусков программ в Windows XP

Windows XP фиксирует каждое обращение пользователя к той или иной программе и формирует на основе собранной статистики список часто используемых приложений, доступный для просмотра в расширенном меню "Пуск" операционной системы.
[IMG]http://www.computerra.ru/upload/rtfm/XP_Run_Count_Editor_1.gif[/IMG]
Вся статистическая информация о количестве запусков программ сохраняется системой в реестре Windows XP и может быть просмотрена любым (даже не обладающим администраторскими правами) пользователем при помощи бесплатной утилиты [URL="http://brooksyounce.byethost13.com/soft/xprun.htm"]XP Run Count Editor[/URL], разработанной Бруксом Яунсом.
[IMG]http://www.computerra.ru/upload/rtfm/XP_Run_Count_Editor_2.gif[/IMG]
Программа XP Run Count Editor состоит из единственного исполняемого файла размером 200 кб и позволяет не только анализировать, сколько раз запускалось каждое из установленных на компьютере приложений, но и посредством контекстного меню вносить некоторые правки в системный реестр. В частности, можно вручную откорректировать количество запусков любой программы, произвести либо выборочное, либо полное удаление записей из списка. Все изменения фиксируются в меню "Пуск" не молниеносно, а спустя несколько минут.

Помимо вышеперечисленной информации, утилита отображает дату и время последнего запуска каждой из программ. Данные сведения тоже могут пригодиться в самых разных случаях. Например, ими могут воспользоваться родители для составления более достоверной картины поведения своего отпрыска за компьютером в период их отсутствия.
[URL="http://www.computerra.ru/gid/rtfm/utility/350211/"]Источник[/URL]

У меня отключена эта функция....за вредность:)

Занятно :)
Bred3 - 2352
Opera - 550
Блокнот - 530
редактор скриптов для avz - 203
почтовый клиент - 172

Возможно вас также интересует MRUBlaster:
[url]http://www.javacoolsoftware.com/mrublaster.html[/url]
MRU = Most Recently Used.
Невероятно, сколько сохраняется на компе. Это можно всё очистить с этой бесплатной программкой (от создателей SpywareBlaster).
Скачать только со сайта создателя:
[url]http://www.javacoolsoftware.net/downloads/mrublastersetup.exe[/url]
Советую отключить все планировщики и автоматические варианты (startup и т.п.). Программкой надо пользоваться как с CCleaner'ом. Вариант 'Customize Notification Past Items' в Settings (настройки) оставить неотмечено!

Paul

Эти утилиты запускать и устанавливать с правами админа?

[quote=Maxim;197442]Эти утилиты запускать и устанавливать с правами админа?[/quote]
Да. Именно так. Программка [b]wise-wistful[/b] не требует установки, но то, что я предлагаю требует. Зато стоит того. :)

Paul

И ведь это все хранится в реестре, который чистить не надо и даже вредно по утвеерждению некоторых.

[QUOTE=p2u;197445]Да. Именно так. Программка [b]wise-wistful[/b] не требует установки, но то, что я предлагаю требует. Зато стоит того. :)

Paul[/QUOTE]Я правильно понял что Вы предложили две утилиты, одна для просмотра, другая для очистки?

[quote=Maxim;197450]Я правильно понял что Вы предложили две утилиты, одна для просмотра, другая для очистки?[/quote]
Сам я предлагал только MRUBlaster. Конечно можно только нажать scan, посмотреть и оставить то, что есть. И удалить можно.
P.S.: Несмотря на то, что у меня запрещена история в Windows и во всех программах, я был в шоке от того, сколько программка нашла. Придётся мне переосмыслить свою политику. Возможно существуют ещё какие-то недокументированные ключи реестра...
[quote=PavelA;197446]И ведь это все хранится в реестре, который чистить не надо и даже вредно по утвеерждению некоторых.[/quote]
Обычные 'уборщики' реестра на такое даже внимание не обращают... Чистить реестр бывает вредно если человек не знает, что делает. ;)

Paul

[QUOTE=p2u;197462]Сам я предлагал только MRUBlaster.[/QUOTE]Значит она предлагает и посмотреть и удалить, т.е. два в одном. :)

[quote=Maxim;197476]Значит она предлагает и посмотреть и удалить, т.е. два в одном. :)[/quote]
Да. Программка [b]wise-wistful[/b] тоже, кстати, но там фокус, видимо, немного другой. Я сначала удалил всё через XP Run Count Editor (правой кнопкой мыши на окно результатов - Delete All Keys) и перезагрузил комп.
Потом запустил MRUBlaster, и ожидал, что тот уже ничего не найдёт... И зря...
**************
[b]Update[/b]:
После того, как я удалил всё, что программки нашли, я создал следующий ключ в реестре:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\[b]Comdlg32[/b]
Ключ Comdlg32 не существует на многих системах. Его надо создать как раздел.
В правом окне я создал следующий DWORD-параметр:
[b]NoFileMRU[/b] и поставил его на '1' (значит - политика включена).
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
Создал DWORD параметр [b]NoInstrumentation[/b] и поставил его на 1 (=политика включена).
Перезагрузил комп. Теперь, кажется, в XP Run Count Editor уже ничего ногово не создаётся. В MRUBlaster по старому продолжается, но уже гораздо меньше. Возможно это из кэша, но кэш у меня при выходе отчищается...

Paul

[QUOTE=wise-wistful;197245]Например, ими могут воспользоваться родители для составления более достоверной картины поведения своего отпрыска за компьютером в период их отсутствия.[/QUOTE]у меня прога выдала неверные данные (вернее, устаревшие года эдак на два). По-видимому, эта статистика ведётся шеллом, боюсь, даже банальный авторан не учитывается. Но определённый прикол в этом есть: можно узнать, чем я пользовался, когда трава была зеленее :)

У меня почему-то XP Run Count Editor выдает очень мало программ, а когда удалил то, что он нашёл, вообще ничего не показывает.
Меня ещё интересует, как запретить запись в HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache
А то оттуда трояны воруют пути к программам, которые не пишут себя в реестр :)

[quote=Surfer;198952] Меня ещё интересует, как запретить запись в HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache
[/quote]
Кому? Eplorer.exe? [off-topic: На самом деле часто читаю ошибку во многих технических анализов malware - [b]не трояны пишут туда, а сам shell (=explorer.exe)[/b] когда Трояны (и другие программы) работают].
Ответ на ваш вопрос пока не знаю. Надо уточнить ещё точную функцию этого ключа, чтобы потом все ваши настройки + языковые параметры не слетели... ;)
[quote=Surfer;198952]А то оттуда трояны воруют пути к программам, которые не пишут себя в реестр :)[/quote]
А это ещё более сложный вопрос - запретить чтение...

Paul

[quote=p2u;198995][B]не трояны пишут туда, а сам shell (=explorer.exe)[/B] когда Трояны (и другие программы) работают.

Paul[/quote]
Нет, это explorer пишет туда пути, когда программы запускаются.
Вот например старенький пинч достаёт путь к RQ.exe, RAT.exe (icq-клиент) или Totalcmd.exe

[url]http://www.viruslist.com/en/viruses/encyclopedia?virusid=150319[/url]

[quote=Surfer;199001]Нет, это explorer пишет туда пути, когда программы запускаются.
Вот например старенький пинч достаёт путь к RQ.exe, RAT.exe (icq-клиент) или Totalcmd.exe

[URL]http://www.viruslist.com/en/viruses/encyclopedia?virusid=150319[/URL][/quote]
Угу. Знаю.
Моя первая реакция - удалить этот ключ целиком (думаю, что новый, свеженький создаётся после перезагрузки) и 'под замок' его (то есть всем кроме системы разрешить только чтение). Но надо выяснить возможные неприятные последствия таких мер. Вот этим я буду заняться. Дайте мне до Воскресенья (завтра же праздник)... ;)
P.S.: Ещё лучше, конечно, не запускать Трояны... :D

Paul

[b]Update:[/b]
[quote=Surfer;198952] Меня ещё интересует, как запретить запись в HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache
А то оттуда трояны воруют пути к программам, которые не пишут себя в реестр :)[/quote]
Ну и папка... :> Microsoft, видимо, не хочет, чтобы мы знали для чего именно создана MUICache - толком объяснение в Гугл не нашёл.
Предлагаю вам поступить так:
[code]reg delete "HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache" /va /f[/code]
Это отчищает папку MUICache от всего, что не напрямую связано с Windows (остальное восстанавливается). Перезагрузим систему и убедимся в том, что в папке уже не находятся те параметры, которые мы не хотим там видеть (RQ.exe, RAT.exe, Totalcmd.exe, и т.д.). Вы должны видеть список только виндовских параметров (shell32.dll, eplorer.exe, и т.д.) + то, что в автозагрузке запускалось.

Теперь поставим замок на этот ключ - запретим ВСЕМ КРОМЕ СИСТЕМЫ доступ туда ПО ВСЕМ ПАРАМЕТРАМ. Колонку 'Разрешения' с лева НЕ трогаем, а, наоборот галочки ставим 'Запретить' в правой колонке по всем параметрам. Таким образом потом хоть возможно будет кое-что поправить если что-то не так. Естественно, группу админов посделней отредактировать.

Paul

[QUOTE]толком объяснение в Гугл не нашёл.[/QUOTE]
спасибо за исправление ситуации...
теперь эта инфа будет...
по реестру вообще инфы мало (везде в принципе одно и тоже) и до бОльшей части интересной инфы приходится докапываться самому

[quote=vidocq89;199337] по реестру вообще инфы мало (везде в принципе одно и тоже) и до бОльшей части интересной инфы приходится докапываться самому[/quote]
Надеюсь, что здесь что-нибудь найдёте:
[url=http://virusinfo.info/showthread.php?t=18271][B]Справочник по реестру Windows XP[/B][/url]

Paul

Могу заметить, что масса троянов использует данные из этого ключа для идентификации файкта наличия разного ПО и поиска его на диске. В KIS8 скорее всего будет приняты меры для защиты - всем untrusted программам будет закрыт доступ к данной статистике...

[quote=Зайцев Олег;199437]Могу заметить, что масса троянов использует данные из этого ключа для идентификации файкта наличия разного ПО и поиска его на диске. В KIS8 скорее всего будет приняты меры для защиты - всем untrusted программам будет закрыт доступ к данной статистике...[/quote]
Здесь ещё несколько ключей, через которые можно узнать такую инфу:
*HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\LastVisitedMRU
*HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU
*HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
Первые два ('LastVisitedMRU' и 'OpenSaveMRU') я жестоко удалил, и они больше не вернулись. Что делать с RunMRU ещё не определил.

Paul

Аналогично. Это память для Пуск - Выполнить