Сколько весит реестр windows

Мошенники всё чаще пытаются выманить у граждан критически важные персональные данные — ИНН, СНИЛС и коды подтверждения — под предлогом доставки заказов с маркетплейсов. Представляясь курьерами, они утверждают, что эти данные якобы необходимы для получения посылки.

Как рассказала в комментарии «РИА Новости» генеральный директор компании STCrypt (входит в SafeTech Group) Дарья Верестникова, звонок якобы от имени маркетплейса — это лишь первый этап схемы.

На втором этапе с жертвой связывается человек, представляющийся сотрудником правоохранительных органов. Он сообщает о якобы зафиксированном взломе аккаунта на Портале госуслуг и убеждает гражданина срочно перевести деньги на «безопасный счёт» или передать их «сотруднику полиции» — в этой роли выступает курьер, работающий на мошенников.

При этом учётная запись на самом деле остаётся в безопасности, а входящие СМС-сообщения поступают с поддельного номера.

Дарья Верестникова подчёркивает, что мошенники пользуются распространённым страхом: будто бы взлом Госуслуг позволяет оформить кредит без ведома владельца аккаунта.

«Злоумышленники используют тот факт, что через Госуслуги теперь можно не только получать доступ к государственным, но и к коммерческим сервисам — например, оформлять микрозаймы или подписывать документы. И если защита аккаунта сводится к одному СМС-коду, то для атаки зачастую даже не нужен реальный взлом — достаточно ввести человека в заблуждение», — отметила эксперт.

Запись системного реестра, которая определяет максимальный размер системного реестра, называется HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\RegistrySizeLimit. По умолчанию эта запись не существует, поэтому ее необходимо создать вручную.

  1.  Откройте редактор системного реестра (REGEDIT.EXE).

  2.  Перейдите в раздел HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control.

  3.  В меню Правка (Edit) выберите команду Создать > Параметр DWORD (New > DWORD Value) и введите имя записи RegistrySizeLimit.

  4.  Дважды кликните на новой записи и присвойте ей значение, равное количеству байт максимального объема реестра (выберите десятичный режим ввода).

Минимальный размер системного реестра равен 4 Мбайт. Если в системный реестр ввести меньший объем информации, его размер будет принудительно увеличен до 4 Мбайт. Максимальный объем системного реестра составляет 80% от объема нерезидентного пула, равного 128 Мбайт (таким образом, максимальный объем системного реестра равен 102 Мбайт — 80% от 128 Мбайт). Если соответствующая запись не существует, то максимальный объем системного реестра равен 25% от нерезидентного пула. Выгружаемый/нерезидентный пул (paged pool) — это область оперативной памяти, которая используется для хранения системных данных, записываемых на жесткий диск при отсутствии текущей необходимости в этих данных.

Обратите внимание, что значение записи RegistrySizeLimit указывает лишь максимальное ограничение, а не непосредственное выделение области памяти, поэтому указание большего значения не приведет к резервированию свободного пространства памяти. Большее значение записи вовсе не гарантирует доступности необходимого объема ОЗУ.

Описанные выше действия можно осуществить с помощью меню Система (System) в окне Панель управления (Control Panel). Перескочите на вкладку Быстродействие (Performance)
и установите максимальный размер системного реестра. Затем необходимо перезагрузить компьютера.

Дополнительная информация об описываемых аспектах системного реестра приводится в статье Q124594 базы знаний Microsoft Knowledge Base.

Еще одна проблема относится к ранним стадиям загрузки Windows, когда модуль NTLDR загружает некоторый код, резервирует оперативную память и считывает разделы системного реестра. Все это должно вместится в 16 Мбайт оперативной памяти вне зависимости от установленного на компьютере объема ОЗУ. При этом считывается все содержимое системного файла и необходимо, чтобы оперативная память вмещала весь файл, хранимый на жестком диске, вне зависимости от того, какая область файла требуется в текущий момент времени.

Далее представлен список возможных проблем.

· Системный реестр содержит большой объем неиспользуемого пространства. Попробуйте сохранить раздел SYSTEM с помощью редактора системного реестра REGEDT32 и сравните полученный файл с кустом SYSTEM, который расположен в каталоге \%systemroot%\system32\config\. На одном из компьютеров подобным способом размер куста SYSTEM был сокращен с 9720 Кбайт до 864 Кбайт.

· Создание набора управления LastKnownGood (самого последнего набора управления, обеспечившего правильный запуск системы) сразу после загрузки Windows приводит, практически, к удвоению размера системного реестра. В зависимости от различных условий, например, объема неиспользуемого пространства, внесение дополнений в системный реестр может потребовать использования объема памяти, расширяющего объем комбинированных разделов Current и LastKnownGood куста SYSTEM. После следующей загрузки еще один раздел LastKnownGood добавляется в конец файла, увеличивая его объем на треть. В некоторых случаях системный реестр с “истинным” размером в 4 Мбайт расширялся аж до 12 Мбайт, что приводило к срыву загрузки Windows.

Теперь посмотрим на список методов, помогающих сократить неиспользуемый объем системного реестра.

· Для файловой системы FAT: загрузите компьютер с диска DOS и замените файл SYSTEM.

· Для файловой системы NTFS: загрузите Windows NT с другого раздела и замените файл на первоначальном разделе.

· Воспользуйтесь утилитами REGBACK и REGREST из пакета Resource Kit для Windows NT (самый простой способ).

· Введите в командной строке команду rdisk и восстановите систему с помощью аварийного диска. Удостоверьтесь в том, что для создания резервной копии базы данных пользователя используется команда rdisk /s.

· Воспользуйтесь утилитой ERD Commander компании Winternals Software.

Для отключения системных сообщений в процессе загрузки воспользуйтесь редактором системного реестра REGEDT32, добавьте запись ReportBootOk типа REG_SZ и присвойте ей значение 0. Запись должна располагаться в разделе HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon. Это предотвратит создание набора управления LastKnownGood. Если загрузка Windows завершилась неудачей из-за превышения ограничения в 16 Мбайт при работе модуля NTLDR, вывод содержимого оперативной памяти (dump) не проводится и решения этой проблемы Microsoft не предоставляет.

Registry Size & Number of Keys (Key/Value Pairs)

With a new operating system Windows 10 comes a brand new registry and I got asked by a client in a discussion;  «Well how big is it?; and; Why does it take so long to search?» I thought this was trivial to answer, but not easily found, as it turns out. So here is the definitive answer.
 

A little backgrounder on what the registry is;

The Windows Registry is a hierarchical database that stores low-level settings for the Microsoft Windows operating system and for applications that opt to use the Registry. The kernel ‘(OS)’, device drivers, services, Security Accounts Manager (SAM), and user interface can all use the Registry. The Registry also allows access to counters for profiling system performance, aka ‘performance data’ (Wikipedia). 

Note, most apps/programs add registry entries, but when they are uninstalled some companies are lazy and do not clean up there tracks. Hence registry size tend to grow over time. Remnants remain in the registry and hence tools like registry cleaner and optimizers were born. Here’s a complete set of free open source registry utilities use them, but they are snake oil according to Malwarebytes Labs.

Detailed look at registry at http://www.techsupportalert.com/content/deeper-windows-registry.htm.

Results to these 3 common questions about the Registry

Q1) How big is it ? 

; Sample exported registry file
[HKEY_LOCAL_MACHINE\SOFTWARE\Office]     ; path to subkeys, like directories 
    @="Value"      ; @ is same as (default) key name in registry, key/value pair                                      "Key"="Value"      ; a key/value pair

Entire registry exported .reg size in 716.82 Mb on disk.




New Windows 10 Pro install with Office 2016 Registry Counts

Total Number of Lines	5,789,565	approx 6 Million
Total Number of Key/Value Pairs	1,973,233	approx 2 Million
Total Number of Subkey «Paths»	1,069,402	approx 1 Million
Total Number of Empty lines	2,746,930	approx 3 Million
All Keys+Values	3,042,635	approx 3 Million

Картинка с сайта: metadataconsulting.blogspot.com

Method 2 : Dureg.exe data size

Dureg.exe is a command-line utility that you can use to determine how much data is stored in the registry, or in any registry subtree, key, or subkey. You can also use this tool to search the registry or any registry subtree for occurrences of a specific text string. 


Download Dureg.exe installer (x86 app and is reading Wow6432Node)

C:\WINDOWS\system32>dureg /a
Size of HKEY_CLASSES_ROOT   :   45,914,070
Size of HKEY_USERS          :   49,949,370
Size of HKEY_LOCAL_MACHINE  :   86,644,163

    Total Registry data size:    182,507,603

But we are missing 2 Hives (they are just shortcuts, so we don’t count them)

1. HKEY_CURRENT_CONFIG is a shortcut to the HKEY_LOCAL_MACHINE hive. More specifically, to that hive’s \SYSTEM\CurrentControlSet\Hardware Profiles\Current\ registry key.
2. HKEY_CLASSES_ROOT is actually a copy (or an alias, as these copied keys are called) of the following HKEY_LOCAL_MACHINE hive with path HKEY_LOCAL_MACHINE\Software\Classes

DuReg.exe counts data, not space. Because the space any data occupies varies with the storage method and amount of free space available, the size of data and the size of space consumed are not equal. Also, because it measures data, DuReg does not account for fragmented free space in the registry.

Dureg.exe estimates 182.5 Mega data size. 


Method 3 : Ru.exe estimate size on disk




Using Sysinternals Registry Usage Tool  

or 253.1 Mb estimated size on disk.







Using Sysinternals Registry Usage Tool  gives counts as well

Method 4 : Actual size on disk


Compare this to actual Registry Hives on disk using Windows Explorer

Total registry size of 318.8 Mb on disk. 




Method 5 : Database size


Compare this to the actual Registry database size of 352 Mb. 

Get Registry Age and Size running on  Microsoft Windows 10 Pro

CurrentSize (Mb) : 352
MaximumSize (Mb) : 4095
FreeSize (Mb)    : 3743
PercentFree      : 91.4041514041514
Created          : 9/28/2016 11:40:47 PM
Age              : 215.21:15:06.4100071

Registry Age and Size Powershell script source

Q2) Why does it take so long to search the Registry ? 


Short Answer: Because the registry is a hierarchical database which is «like» a tree structure and implementation is not well know. Allot of controversy around this with some basic saying «it’s essentially a flat database or list.»  However, it’s more complicated than that, digging deeper lead the famous Mark Russinovich who is creator of Sysinternals the advanced system utilities and technical information site.

Inside the Registry by Mark Russinovich states on disk, the Registry isn’t simply one large file but a set of discrete files called hives. Each hive contains a Registry tree, which has a key that serves as the root (i.e., starting point) of the tree. The Configuration Manager logically divides a hive into allocation units called blocks in much the same way that a file system divides a disk into clusters. By definition, the Registry block size is 4096 bytes (4KB). Blocks hold cells. The Registry data that a hive stores in containers called cells. A cell can hold a key, a value, a security descriptor, a list of subkeys, or a list of key values. A field at the beginning of a cell’s data describes the data’s type.he distinction between cells, bins, and blocks can be confusing, so let me give you an example of a simple Registry hive layout. The sample Registry hive file in Figure 1 contains a base block and two bins. The first bin is empty, and the second bin contains several cells. Logically, the hive has only two keys: the root key Root, and a subkey of Root, Sub Key. Root has two values, Val 1 and Val 2. A subkey-list cell locates the root key’s subkey, and a value-list cell locates the root key’s values. The free spaces in the second bin are empty cells. The figure doesn’t show the security cells for the two keys, which would be present in a hive. This is the representation on disk.

look like a link list to me on disk

There have been calls to move this into a relational  database. For windows programs using language C# lookups, using a dictionary structure is the time required is flat, an O(1) constant time complexity. The List has an O(N) linear time complexity, in worst case scenario. That means you have to look through all 2M key/value pairs plus keys (1M) for a total of a linear search through 3M items. Registry feels like a link list when I search. It can find a key quickly or take forever, it feels pretty linear.

• Note: It’s a little way more complicated than that, since the hive is kept in memory and with its own structure.

  From Inside the Registry by Mark Russinovich states; 

  To deal with non-contiguous memory buffers storing hive data in memory, the Configuration Manager adopts a strategy similar to what NT’s Memory Manager uses to map virtual memory addresses to physical memory addresses. The Configuration Manager employs a two-level scheme, which Figure 2 illustrates, that takes as input a cell index (i.e., a hive file offset) and returns as output both the address in memory of the block the cell index resides in and the address in memory of the bin the cell resides in. Remember that a bin can contain one or more blocks and that hives grow in bins, so NT always represents a bin with a contiguous memory buffer. Therefore, all blocks within a bin occur within the same portion of a paged pool.

  
  

Q3) What is Windows 10 Pro Registry Path  Frequency Distribution?

A sample subkey depth calculation for the following registry key path 

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\AutorunsDisabled

has a depth of 7. 

Картинка с сайта: metadataconsulting.blogspot.com

How many Windows Registry Types are there and what are their counts? 

• Here’s a Windows Registry Types frequency counts for a typical old Win7 machine with Office installed.

Картинка с сайта: metadataconsulting.blogspot.com

These are all the windows registry types that appear in .reg file see RegtoText for more info.

Method 1 : Detailed Methodology for Calculation

• 1. Export Your entire registry to a file. This backup up your registry ! Do it now. 

Картинка с сайта: metadataconsulting.blogspot.com

• 2. Here’s a example of more complex Registry export file.
      Take note of the hex and dword values span multiple lines. 

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\VolumeCaches\Windows Error Reporting System Queue Files]
@="{C0E13E61-0CC6-11d1-BBB6-0060978B2AE6}"
"FileList"="*.*"
"Flags"=dword:0000007d
"Folder"=hex(2):25,00,41,00,4c,00,4c,00,55,00,53,00,45,00,52,00,53,00,50,00,52,\
  00,4f,00,46,00,49,00,4c,00,45,00,25,00,5c,00,4d,00,69,00,63,00,72,00,6f,00,\
  73,00,6f,00,66,00,74,00,5c,00,57,00,69,00,6e,00,64,00,6f,00,77,00,73,00,5c,\
  00,57,00,45,00,52,00,5c,00,52,00,65,00,70,00,6f,00,72,00,74,00,51,00,75,00,\
  65,00,75,00,65,00,00,00
"IconPath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
  74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,77,\
  00,65,00,72,00,75,00,69,00,2e,00,64,00,6c,00,6c,00,2c,00,31,00,00,00
"Display"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,\
  6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,\
  00,77,00,65,00,72,00,2e,00,64,00,6c,00,6c,00,2c,00,2d,00,32,00,39,00,39,00,\
  00,00
"Description"=hex(2):40,00,25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,\
  00,6f,00,74,00,25,00,5c,00,73,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,\
  5c,00,77,00,65,00,72,00,2e,00,64,00,6c,00,6c,00,2c,00,2d,00,33,00,30,00,30,\
  00,00,00
"StateFlags"=dword:00000000

• 3. Count key/value pairs in the file with lines that start with @ or «
• 4. Count subkey paths in the file with lines that start with [
• 5. Done. 

Explore the Registry : Related Tools

1. My RegtoText is a command line utility that converts convoluted hex values in Windows Registry file (.reg) into a human readable text (.txt) file.  Specifically it identifies the 14 hex formats and converts them to ASCII or UTF-8.
2. My RegViewer a read-only Windows registry viewer, safe and easy to use