.\" -*- mode: troff; coding: utf-8 -*- .\" Automatically generated by Pod::Man v6.0.2 (Pod::Simple 3.45) .\" .\" Standard preamble: .\" ======================================================================== .de Sp \" Vertical space (when we can't use .PP) .if t .sp .5v .if n .sp .. .de Vb \" Begin verbatim text .ft CW .nf .ne \\$1 .. .de Ve \" End verbatim text .ft R .fi .. .\" \*(C` and \*(C' are quotes in nroff, nothing in troff, for use with C<>. .ie n \{\ . ds C` "" . ds C' "" 'br\} .el\{\ . ds C` . ds C' 'br\} .\" .\" Escape single quotes in literal strings from groff's Unicode transform. .ie \n(.g .ds Aq \(aq .el .ds Aq ' .\" .\" If the F register is >0, we'll generate index entries on stderr for .\" titles (.TH), headers (.SH), subsections (.SS), items (.Ip), and index .\" entries marked with X<> in POD. Of course, you'll have to process the .\" output yourself in some meaningful fashion. .\" .\" Avoid warning from groff about undefined register 'F'. .de IX .. .nr rF 0 .if \n(.g .if rF .nr rF 1 .if (\n(rF:(\n(.g==0)) \{\ . if \nF \{\ . de IX . tm Index:\\$1\t\\n%\t"\\$2" .. . if !\nF==2 \{\ . nr % 0 . nr F 2 . \} . \} .\} .rr rF .\" .\" Required to disable full justification in groff 1.23.0. .if n .ds AD l .\" ======================================================================== .\" .IX Title "hivexsh 1" .TH hivexsh 1 2026-06-22 hivex-1.3.24 "Windows Registry" .\" For nroff, turn off justification. Always turn off hyphenation; it makes .\" way too many mistakes in technical documents. .if n .ad l .nh .SH "نام (NAME)" hivexsh \- پوسته تعاملی کندوی رجیستری ویندوز .SH "خلاصه دستور (SYNOPSIS)" .IX Header "SYNOPSIS" .Vb 1 \& hivexsh [\-options] [hivefile] .Ve .SH "توضیحات (DESCRIPTION)" .IX Header "DESCRIPTION" این برنامه یک پوسته ساده برای پیمایش فایل‌های «کندو» (\*(Aqhive\*(Aq) رجیستری ویندوز فراهم می‌کند. این ابزار از کتابخانه hivex برای دسترسی به این فایل‌های باینری استفاده می‌کند. .PP در وهله اول باید یک فایل کندو از یک سیستم‌عامل ویندوز تهیه کنید. فایل‌های کندو معمولاً در مسیر \&\f(CW\*(C`C:\eWindows\eSystem32\eConfig\*(C'\fR قرار دارند و نام‌هایی مانند \&\f(CW\*(C`software\*(C'\fR، \&\f(CW\*(C`system\*(C'\fR و غیره دارند (بدون هیچ پسوند فایلی). برای اطلاعات بیشتر درباره فایل‌های کندو، \fBhivex\fR\|(3) را مطالعه کنید. برای اطلاعات درباره دریافت فایل‌ها از ماشین‌های مجازی، \fBvirt\-cat\fR\|(1) و \fBguestfish\fR\|(1) را بخوانید. .PP می‌توانید نام فایل کندو را برای بررسی در خط فرمان وارد کنید. به عنوان مثال: .PP .Vb 1 \& hivexsh software .Ve .PP یا می‌توانید \&\f(CW\*(C`hivexsh\*(C'\fR را بدون هیچ آرگومانی اجرا کرده و بلافاصله از دستور \&\f(CW\*(C`load\*(C'\fR برای بارگذاری یک کندو استفاده کنید: .PP .Vb 1 \& $ hivexsh \& \& Welcome to hivexsh, the hivex interactive shell for examining \& Windows Registry binary hive files. \& \& Type: \*(Aqhelp\*(Aq for help with commands \& \*(Aqquit\*(Aq to quit the shell \& \& > load software \& software\e> .Ve .PP با استفاده از دستور \&\f(CW\*(C`cd\*(C'\fR در کلیدهای کندو مانند یک سیستم‌فایل پیمایش کنید و از \&\f(CW\*(C`ls\*(C'\fR برای فهرست کردن زیرکلیدهای کلید جاری بهره ببرید. سایر دستورها در ادامه آمده‌اند. .SH "گزینه‌ها (OPTIONS)" .IX Header "OPTIONS" .IP \fB\-d\fR 4 .IX Item "-d" فعال‌سازی حجم زیادی از پیام‌های اشکال‌زدایی. اگر با یک فایل رجیستری مواجه شدید که این برنامه قادر به تجزیه آن نیست، لطفاً این گزینه را فعال کرده و خروجی کامل \fIو\fR فایل کندوی رجیستری را در گزارش باگ خود ارسال کنید. .IP "\fB\-f\fR filename" 4 .IX Item "-f filename" خواندن دستورها از \&\f(CW\*(C`filename\*(C'\fR به جای ورودی استاندارد (stdin). برای نوشتن یک اسکریپت hivexsh، از قالب زیر استفاده کنید: .Sp .Vb 1 \& #!/usr/bin/hivexsh \-f .Ve .IP \fB\-u\fR 4 .IX Item "-u" استفاده از روش‌های اکتشافی (هیوریستیک) برای تحمل سطوح مشخصی از خرابی در داخل کندوها. .Sp این حالت ناامن است اما ممکن است امکان استخراج یا ادغام کلیدها و مقادیر معتبر را از یک کندوی آسیب‌دیده فراهم سازد. .IP \fB\-w\fR 4 .IX Item "-w" اگر این گزینه مشخص شود، نوشتن در کندو مجاز خواهد بود (به دستور «commit» در ادامه، و بحث پیرامون تغییر کندوها در «WRITING TO HIVE FILES» در \fBhivex\fR\|(3) مراجعه کنید). .Sp \&\fBنکته مهم:\fR حتی در صورت مشخص کردن این گزینه، هیچ تغییری در کندو نوشته نخواهد شد مگر اینکه دستور «commit» را فراخوانی کنید. اگر بدون کامیت کردن از پوسته خارج شوید، تمام تغییرات دور ریخته خواهند شد. .Sp اگر این گزینه مشخص نشود، دستورهای نوشتن غیرفعال خواهند بود. .SH "دستورها (COMMANDS)" .IX Header "COMMANDS" .IP "\fBadd\fR name" 4 .IX Item "add name" افزودن یک زیرکلید با نام \&\f(CW\*(C`name\*(C'\fR در زیر گره جاری. نام می‌تواند شامل فاصله و نویسه‌های نگارشی باشد و نیازی به قرار گرفتن در گیومه ندارد. .Sp کلید جدید هیچ زیرکلید و مقداری نخواهد داشت (به \&\f(CW\*(C`setval\*(C'\fR مراجعه کنید). .Sp نباید هیچ زیرکلید موجودی با نام \&\f(CW\*(C`name\*(C'\fR وجود داشته باشد، در غیر این صورت این دستور با شکست مواجه می‌شود. برای جایگزینی یک زیرکلید موجود، ابتدا آن را مانند زیر حذف کنید: .Sp .Vb 2 \& cd name \& del .Ve .IP "\fBcd\fR path" 4 .IX Item "cd path" رفتن به زیرکلید \&\f(CW\*(C`path\*(C'\fR. از بک‌اسلش‌های سبک ویندوز برای جداسازی اجزای مسیر استفاده کنید و برای شروع از ریشه کندو، مسیر را با یک بک‌اسلش آغاز نمایید. به عنوان مثال: .Sp .Vb 1 \& cd \eClasses\e* .Ve .Sp از گره ریشه به گره \&\f(CW\*(C`Classes\*(C'\fR و سپس به گره \&\f(CW\*(C`*\*(C'\fR منتقل می‌شود. اگر از قبل در گره ریشه بودید، می‌توانستید در عوض این کار را انجام دهید: .Sp .Vb 1 \& cd Classes\e* .Ve .Sp یا حتی: .Sp .Vb 2 \& cd Classes \& cd * .Ve .Sp اجزای مسیر (نام گره‌ها) بدون حساسیت به بزرگی و کوچکی حروف مطابقت داده می‌شوند و نویسه‌هایی مانند فاصله، \&\f(CW\*(C`*\*(C'\fR و \&\f(CW\*(C`?\*(C'\fR دارای \fIهیچ\fR معنای خاصی نیستند. .Sp دستور \&\f(CW\*(C`cd ..\*(C'\fR می‌تواند برای رفتن به دایرکتوری والد استفاده شود. .Sp دستور \&\f(CW\*(C`cd\*(C'\fR بدون هیچ آرگومانی مسیر جاری را چاپ می‌کند. .Sp در مورد \&\f(CW\*(C`cd \e\*(C'\fR مراقب باشید زیرا کتابخانه readline دارای رفتاری ثبت‌نشده است که در آن بک‌اسلش پایانی را به عنوان ادامه‌دهنده خط در نظر می‌گیرد (خط بعدی ورودی را خوانده و ضمیمه می‌کند). پس از بک‌اسلش یک فاصله قرار دهید. .IP "\fBclose\fR | \fBunload\fR" 4 .IX Item "close | unload" بستن کندوی بارگذاری‌شده فعلی. .Sp اگر کندو را تغییر داده باشید، با فراخوانی این دستور (یا در صورت خروج از پوسته) تمام تغییرات کامیت‌نشده از دست خواهند رفت. برای نوشتن و ذخیره تغییرات باید \&\f(CW\*(C`commit\*(C'\fR را فراخوانی کنید. .IP "\fBcommit\fR [newfile]" 4 .IX Item "commit [newfile]" اعمال و ذخیره تغییرات روی کندو. اگر پارامتر اختیاری \&\f(CW\*(C`newfile\*(C'\fR مشخص شود، کندو در آن فایل نوشته می‌شود؛ در غیر این صورت فایل اصلی رونویسی خواهد شد. .Sp توجه داشته باشید که باید گزینه \&\f(CW\*(C`\-w\*(C'\fR را مشخص کرده باشید، در غیر این صورت هیچ‌گونه نوشتنی مجاز نخواهد بود. .IP \fBdel\fR 4 .IX Item "del" حذف گره جاری و تمام موارد زیر آن. پس از این دستور، دایرکتوری جاری یک سطح به بالا منتقل می‌شود (مشابه زمانی که \&\f(CW\*(C`cd ..\*(C'\fR را اجرا کنید). .Sp شما نمی‌توانید گره ریشه را حذف کنید. .IP "\fBexit\fR | \fBquit\fR" 4 .IX Item "exit | quit" خروج از پوسته. .IP "\fBload\fR hivefile" 4 .IX Item "load hivefile" بارگذاری کندوی باینری با نام \&\f(CW\*(C`hivefile\*(C'\fR. کندوی بارگذاری‌شده فعلی، در صورت وجود، بسته می‌شود. دایرکتوری جاری مجدداً به گره ریشه تغییر می‌یابد. .IP \fBls\fR 4 .IX Item "ls" فهرست کردن زیرکلیدهای کلید جاری در رجیستری کندو. توجه داشته باشید که این دستور هیچ آرگومانی نمی‌پذیرد. .IP "\fBlsval\fR [key]" 4 .IX Item "lsval [key]" فهرست کردن جفت‌های (کلید، مقدار) مربوط به کلید جاری در رجیستری کندو. اگر هیچ آرگومانی داده نشود تمام جفت‌ها نمایش داده می‌شوند. اگر \&\f(CW\*(C`key\*(C'\fR مشخص شود، مقدار کلید نام‌برده نمایش داده می‌شود. اگر \&\f(CW\*(C`@\*(C'\fR مشخص شود، مقدار کلید پیش‌فرض نمایش می‌یابد. .IP "\fBsetval\fR nrvals" 4 .IX Item "setval nrvals" این دستور تمام جفت‌های (کلید، مقدار) موجود در گره جاری را با مقادیر ورودی‌های بعدی جایگزین می‌کند. \&\f(CW\*(C`nrvals\*(C'\fR تعداد مقادیر (یعنی جفت‌های کلید، مقدار) است، و هرگونه مقدار موجود در این گره حذف خواهد شد. بنابراین \&\f(CW\*(C`setval 0\*(C'\fR صرفاً هرگونه مقدار در گره جاری را حذف می‌کند. .Sp این دستور 2 * nrvals خط از ورودی را می‌خواند که هر جفت خط از ورودی متناظر با یک کلید و یک مقدار برای افزودن است. .Sp به عنوان مثال، دستور setval زیر هر آنچه در گره جاری وجود دارد را با دو جفت (کلید، مقدار) جایگزین می‌کند. کلید پیش‌فرض روی رشته با کدگذاری UTF16\-LE با مقدار "abcd" تنظیم می‌شود. مقدار دیگر "ANumber" نام دارد و یک عدد DWORD به صورت little\-endian با مقدار 0x12345678 است. .Sp .Vb 5 \& setval 2 \& @ \& string:abcd \& ANumber \& dword:12345678 .Ve .Sp خط اول از هر جفت، کلید است (کلید ویژه \&\f(CW\*(C`@\*(C'\fR به معنی کلید پیش‌فرض است، اما می‌توانید از یک خط خالی نیز استفاده کنید). .Sp خط دوم از هر جفت، مقدار است که دارای قالب ویژه \&\f(CW\*(C`type:value\*(C'\fR بوده و انواع ممکن آن در جدول زیر خلاصه شده است: .Sp .Vb 1 \& none هیچ داده‌ای ذخیره نمی‌شود و نوع آن روی 0 تنظیم می‌شود. \& \& string:abc مقدار "abc" به صورت رشته‌ای با کدگذاری UTF16\-LE \& (نوع 1) ذخیره می‌شود. توجه داشته باشید که فقط \& رشته‌های 7 بیتی ASCII به عنوان ورودی پشتیبانی می‌شوند. \& \& expandstring:... مشابه string اما با نوع 2. \& \& dword:0x01234567 یک DWORD (نوع 4) با مقدار هگزادسیمال \& 0x01234567. در اینجا می‌توانید از اعداد در \& مبنای ده یا هشت نیز استفاده کنید. \& \& qword:0x0123456789abcdef \& یک QWORD (نوع 11) با مقدار هگزادسیمال \& 0x0123456789abcdef. در اینجا می‌توانید از \& اعداد در مبنای ده یا هشت نیز استفاده کنید. \& \& hex:: \& hex:1:41,00,42,00,43,00,44,00,00,00 \& این روش کلی برای ورود هر مقداری است. \& نوع عدد صحیح مقدار است. \& فهرستی از جفت‌های ارقام هگزادسیمال است \& که به عنوان بایت تلقی می‌شوند (هرگونه نویسه غیرهگز \& در اینجا نادیده گرفته می‌شود، بنابراین در صورت \& تمایل می‌توانید بایت‌ها را با کاما یا فاصله جدا کنید). .Ve .SH "مثال‌ها (EXAMPLES)" .IX Header "EXAMPLES" .Vb 3 \& $ guestfish \-\-ro \-i Windows7 \& > download win:c:\ewindows\esystem32\econfig\esoftware software \& > quit \& \& $ hivexsh software \& \& Welcome to hivexsh, the hivex interactive shell for examining \& Windows Registry binary hive files. \& \& Type: \*(Aqhelp\*(Aq for help with commands \& \*(Aqquit\*(Aq to quit the shell \& \& software\e> ls \& ATI Technologies \& Classes \& Clients \& Intel \& Microsoft \& ODBC \& Policies \& RegisteredApplications \& Sonic \& Wow6432Node \& software\e> quit .Ve .SH "همچنین ببینید (SEE ALSO)" .IX Header "SEE ALSO" \&\fBhivex\fR\|(3), \&\fBhivexget\fR\|(1), \&\fBhivexml\fR\|(1), \&\fBvirt\-win\-reg\fR\|(1), \&\fBguestfs\fR\|(3), , \&\fBvirt\-cat\fR\|(1), \&\fBvirt\-edit\fR\|(1). .SH "نویسندگان (AUTHORS)" .IX Header "AUTHORS" Richard W.M. Jones (\f(CW\*(C`rjones at redhat dot com\*(C'\fR) .SH "حق نشر (COPYRIGHT)" .IX Header "COPYRIGHT" کپی‌رایت (C) 2009\-2010 Red Hat Inc. .PP این برنامه یک نرم‌افزار آزاد است؛ شما می‌توانید آن را تحت شرایط مجوز عمومی همگانی گنو (GNU GPL) همان‌طور که توسط بنیاد نرم‌افزارهای آزاد منتشر شده است؛ چه نسخه ۲ مجوز یا (به انتخاب خودتان) هر نسخه بالاتری بازتوزیع کرده یا تغییر دهید. .PP این برنامه به این امید که مفید باشد توزیع شده است، اما بدون هرگونه ضمانت؛ حتی بدون ضمانت تلویحی قابل فروش بودن یا مناسب بودن برای یک هدف خاص. برای جزئیات بیشتر به مجوز عمومی همگانی گنو مراجعه کنید. .PP شما باید همراه با این برنامه یک نسخه از مجوز عمومی همگانی گنو دریافت کرده باشید؛ در غیر این صورت به بنیاد نرم‌افزارهای آزاد به نشانی زیر بنویسید: .PP Free Software Foundation, Inc., 51 Franklin Street, Fifth Floor, Boston, MA 02110\-1301 USA.