☰

如何在沒有登錄或命令提示字元的情況下尋找 Windows 作業系統的安裝日期？

tag-icon • tag-icon windows windows-xp windows-installation forensics
如何在沒有登錄或命令提示字元的情況下尋找 Windows 作業系統的安裝日期？

我正在查看 Windows XP 電腦的轉儲檔案。我無權存取註冊表，只能存取電腦本身的所有檔案。我想知道作業系統的安裝日期，但大多數網路回覆都說要么查看註冊表，要么使用命令systeminfo查找它（程式systeminfo.exe顯然無法運行，因為它沒有註冊表來檢查其中的某些部分）。

那麼有沒有一種方法可以在不存取登錄機碼的情況下找到 Windows 的安裝日期呢？檢查什麼文件systeminfo來檢索該資訊？或者它使用註冊表？

答案1

如果您有舊電腦上的 Windows 資料夾作為備份，那麼您就擁有了所需的一切。

您可以將死機的註冊表載入到註冊表編輯器中。之後，您可以查看下面

HKEY_LOCAL_MACHINE\<deadRegistry>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\InstallDate

一步步

  1. 開啟登錄編輯程式（Win+ R» regedit.exe）
  2. 選擇HKEY_LOCAL_MACHINE
    （奇怪的是，這一步是必須的，否則文件 » 載入配置單元是灰色的）
  3. 在功能表列中，按一下文件 » 載入配置單元...

  4. 導航至並打開

    <your Windows backup>\Windows\system32\config\SOFTWARE

    SOFTWARE是我們需要的文件，因為它包含安裝日期。但還有其他文件包含已失效註冊表的其他部分

  5. 將在您的 HKEY_LOCAL_MACHINE 項下建立一個新項目。給它一個有意義的名字，例如死 PC 軟體蜂巢

    在此輸入影像描述

  6. 現在您應該能夠導航到

    HKEY_LOCAL_MACHINE\<Dead PC Software Hive>\SOFTWARE\Microsoft\Windows NT\CurrentVersion

  7. 在右側窗格中，您將看到一個名為 REG_DWORD 的InstallDate值及其值。例如我的節目59e074ec。您可以使用以下指令轉換 HEX 或 DEZ 值任何線上轉換器轉換為可讀格式

  8. 完成後不要忘記卸載蜂巢。選擇鍵死 PC 軟體蜂巢並點擊File » Unload Hive...

使用的資源

答案2

只要日誌回到系統安裝，事件檢視器就可以揭示這一點。

在 Windows XP 中，這些將是儲存在的 .evt 文件%SystemRoot%\System32\Config

您應該能夠在執行的 Windows 電腦上的事件檢視器中開啟這些內容，方法是右鍵單擊樹頂部的事件檢視器（本機）條目，然後選擇打開已儲存的日誌...

答案3

在 XP 中，我總是透過前往資源管理器中的 C:\，右鍵單擊 Windows 資料夾，選擇屬性，然後查看「建立」日期來完成此操作。

只要您查看原始安裝硬碟中的檔案（而不是稍後建立的備份），這應該是準確的。

答案4

前往 C:\Windows\Panther\ 並查看 setupact.log 或 cbs.log 的日期！

這是 Windows 初始安裝的日期和時間。

相關內容