CaptainFlint
Gold Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
ziabriev
Начну с того, что файла C:\Windows\System32\regedit.exe в системе не существует. Есть C:\Windows\regedit.exe (64-битный) и C:\Windows\SysWOW64\regedit.exe (32-битный). Но если запустить 32-битную программу и посмотреть через неё содержимое C:\Windows\System32\, то Windows подставит вместо него содержимое C:\Windows\SysWOW64\, и поэтому такая программа увидит якобы существующий C:\Windows\System32\regedit.exe.
Далее, если из 32-битного Тотала, запущенного с повышенными привилегиями, запустить regedit.exe, то Windows просмотрит содержимое PATH, найдёт нужный файл в том виртуальном system32 и запустит его — то есть на самом деле запустится C:\Windows\SysWOW64\regedit.exe, 32-битный редактор реестра.
И наконец, даже если тем же 32-битным Тоталом запустить напрямую именно C:\Windows\regedit.exe, вроде как полноценный 64-битный редактор реестра, то Windows опять применит свой редирект и втихую подсунет вместо него C:\Windows\SysWOW64\regedit.exe. В диспетчере задач он будет делать вид, что запущен из каталога Windows, но тем не менее на самом деле это будет не он. В этом можно убедиться, записав какие-нибудь данные в ветку, скажем, HLKM\Software\Ghisler (но не HKCU), и потом перепроверив данные в 64-битном редакторе реестра, открытом из Проводника или 64-битного Тотала (только сначала надо запущенный редактор реестра закрыть, иначе новый не запустится, а перекинет фокус в уже открытую копию, даже если она не той битности). Добавленных данных там уже не окажется, они будут сидеть в специальном подразделе HKLM\SOFTWARE\WOW6432Node\Ghisler. Также можно просто открыть regedit.exe на просмотр каким-нибудь плагином, показывающим информацию о PE-заголовках. FileInfo, например. При просмотре файла C:\Windows\regedit.exe из 64-битного Тотала там будет во вкладке Image File Header указано: Machine: 8664h (AMD64 (K8)). А из 32-битного для того же самого файла — Machine: 014Ch (i386 or later, and compatible).
----------
Почему же, ё-моё, ты нигде не пишешь "ё"? |
|
