完美：如何完全消除手动使用U盘的痕迹_IT /计算机_信息

如何彻底消除手动使用U盘的痕迹（2009-11-12 172234)一、原理有人说最好使用软件清除它，例如USBClear，UsbCleaner，UsbViewer，我已经尝试过了，可以告诉您，上述3个软件不起作用！可以使用特殊的检测工具找到它，例如Internet的痕迹，无论您如何清除，重新安装和格式化硬盘上，还可以使用特殊的检测工具找到它，并且Internet记录是从您第一次使用IE开始的，我对计算机进行了深入检查，结果还发现了2003年的Internet记录。我很无奈，没有办法，我最近检查了很多，手头上只有这个，就像一个检测工具，所以我们也来研究一下。USB使用记录是从重新安装系统的那天开始发现的如果可以避免重新安装，则意味着USB使用记录确实保存在他的系统盘。明确。但是无法清除Internet记录。我认为它必须是低格式，但我还没有尝试过。我检查了Internet上的许多信息，发现以下内容很有用，因此我将其共享。哈哈。作为操作系统，它不会保存无意义的U盘使用记录（当然，如果故意设置了后门），这些相关记录实际上应该是操作系统快速识别移动存储设备所必需的信息。 Windows通常使用注册表来存储此类信息，但对于系统而言，对于重要更改，通常将保留.log日志以方便进行故障排除。

对于计算机系统，USB闪存驱动器之类的东西实际上是多个设备协同工作的系统。这样的系统包括通用串行总线-USB设备（包括USB大容量存储设备-USB大容量存储设备），磁盘驱动器和存储卷。从用户的角度来看，应该颠倒顺序。首先要考虑的是实际存储数据的容量。然后，操作系统必须保留指向用户关心的卷的特定设备的信息。对于每个U盘，制造商将以文本格式将制造商和产品信息写为Ven_XXXX＆Prod_XXXX;数值格式为Vid_nnnn＆Pid_nnnn;制造商和产品的ID均为4位十六进制数字加上4位版本号对于产品，可以用12位十六进制硬件号表示，即24位长的ID，它类似于网卡的MAC）（为什么在硬件设备中经常出现24位长度），但与MAC地址不同：U磁盘由32位工厂的二进制数唯一标识。通用串行总线{36FC9E60-65-11CF-80000}磁盘驱动器{4D36E967-E325-11CE-BFC1-08002BE10318}存储卷{71A27CDD-812A-11D0-BEC7-08002BE2092F}在相应的注册密钥值HKLMCurrentControlSetSystemCurrentControlSetControlClass下，重写计数和NextInstance在HKLMCurrentControlSetSystemCurrentControlSetServicesUSBSTOR枚举下，并基于NextInstance创建一个临时索引，并在删除时反转操作。

但是很容易让人混淆，Windows在挂起并找到驱动器后，如何区分插入的USB闪存驱动器。我们注意到四个与存储卷有关的项目{53f56307-b6bf-11d0-94f2-00a0c91efb8b}磁盘驱动器的寄存器位置。 DeviceInstance值描述了HKLMSYSTEMCurrentControlSetEnum下的卷的路径。如果路径以USBSTOR开头，则表示它是可移动存储介质。 {53f56308-b6bf-11d0-94f2-00a0c91efb8b}光盘驱动器的注册位置。 DeviceInstance值描述了HKLMSYSTEMCurrentControlSetEnum下的卷的路径。如果路径以USBSTOR开头，则表示它是可移动存储介质。 {53f5630a-b6bf-11d0-94f2-00a0c91efb8b}可移动卷注册位置，所有项目也将出现在{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}中； {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}及其全部一旦安装，该卷的注册位置。 DeviceInstance值描述了HKLMSYSTEMCurrentControlSetEnumSTORAGE下的卷的路径。如果路径以RemovableMedia开头，则表示它是可移动存储介质。

与存储设备相关的项目{a5dcbf10-6530-11d2-901f-00c04fb951ed}用于注册USB存储设备，其子项代表USB存储设备。 DeviceInstance值描述HKLMSYSTEMCurrentControlSetEnumUSB中设备的路径。插入一个从未使用过的USB闪存驱动器，系统在HKLMCurrentControlSetSystemCurrentControlSet ServicesUSBSTOREnum下创建一个12位十六进制字符串名称密钥。在HKLMSYSTEMCurrentControlSetEnumUSB下，它将创建一个密钥，其中包含制造商的产品信息，格式为Vid_nnnn＆Pid_nnnn，每个密钥下都有32位。设备ID的十六进制字符串是保存每个USB闪存驱动器信息的名称，其下的Driver值是{36FC9E60-65-11CF-80000}下设备的路径；在HKLMSYSTEMCurrentControlSetEnumUSBSTOR下，它以Disk＆Ven开头并添加类似Ven_XXXX＆Prod_XXXX Manufacturer的形状。产品信息用于创建键值。类似地，下面还有一个32位的十六进制字符串名称U盘信息，其下的Driver值是{4D36E967E325-11CE-BFC1-08002BE10318}下设备的路径。在HKLMSYSTEMCurrentControlSetEnumSTORAGERemovableMedia项目下，它还将为相应的卷创建项目和键值。同样，驱动程序值是U盘在{71A27CDD-812A-11D0-BEC7-08002BE2092F}下映射的卷的路径；同时，将在setupapi.log中生成一条记录。

二、操作方法：打开控制面板-管理工具-计算机管理删除：1.将环境变量devmgr_shownonpresent_devices添加到系统中，值为12.运行设备管理器，打开以查看隐藏设备。扩展磁盘驱动器和存储卷，然后取消USB闪存驱动器。3.打开计算机管理并删除相关的可移动存储。4.删除1中添加的系统环境变量。到目前为止，可能无法删除注册表中的所有USB使用记录。 HKEY_LOCAL_MACHINESYSTEMControlSet002EnumUSBSTOR中可能仍然有使用情况记录。然后打开功能强大的regedt32工具，找到该项，修改权限，然后删除子项。此外，还应该删除一些与USB Storage Mass设备有关的HKEY_LOCAL_MACHINESYSTEMControlSet002EnumUSB。清除注册表的U盘使用记录1、按开始->运行，在输入框中输入命令：regedit2、删除注册表中以下目录中的USBSTOR子项。 （[K9] HKEY_LOCAL_MACHINESYSTEMControlSet001EnumUSBSTOR（2）HKEY_LOCAL_MACHINESYSTEMControlSet002EnumUSBSTOR经过检查上述各项之后，无法检查，并且HKEY_LOCAL_MACHINESYSTEMControlSet003EnumUSBSTOR（4）HKEY_LOCAL_MACHINESYS >>

如果需要完全清除USB使用记录，请完成以下操作后，可以执行以下操作：1、在以下USB子项目下删除除ROOT_HUB和ROOT_HUB20以外的所有记录。 （[[K9] HKEY_LOCAL_MACHINESYSTEMControlSet001EnumUSB（2）HKEY_LOCAL_MACHINESYSTEMControlSet002EnumUSB（[3）HKEY_LOCAL_MACHINESYSTEMControlSet003EnumUSB（4）HKEY_LOCAL_MACHINESYSTEMCurrentSetSetEnum]和包含DeviceCAL的带有DeviceCAL的部分与DeviceH一起的Control_MACHINE与上面的操作一起使用[9]。 {a5dcbf1 0-6530-11d2-901f-00c04fb951ed}（2）HKEY_LOCAL_MACHINESYSTEMControlSet002ControlDeviceClasses {a5dcbf1 0-6530-11d2-901f-00c04fb951）-00c04fb951ed}（4）HKEY_LOCAL_MACHINESYSTEMControlSet001ControlDeviceClasses {53f5630 7- b6bf-11d0-94f2-00a0c91efb8b}＃ ## USBSTOR＃Disk＆Ven_Alcor＆Prod_Flash_Dis k＆Rev_53b56307-07-＃624f2-BF-11a ...（[K24] HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlDeviceClasses {a5dc bf10-6530-11d2-901f-00c04fb951ed}其他操作与上一步相同。

第一步：通过硬件检测软件（EVEREST Ultimate）获取移动存储的硬件编号。例如，我的魅族E5是：Ven_SigmaTel＆Prod_MSCN＆Rev_01000002F68C022B070F＆0。 0002F68C022B070F＆0是唯一的硬件编号。第二步操作regedt32，在1：HKEY_LOCAL_MACHINESYSTEMControlSet001ControlDeviceClasses {53f5630 7-b6bf-11d0-94f2-00a0c91efb8b} 2：HKEY_LOCAL_MACHINESYSTEMControlSet001EnumUSBSTOR 3：HKEY_LOCAL_MACHINE硬件信息：HKEY_LOCAL_SYSTEMS中，找到“ 0002F68C022B070F＆0”：HKEY_LOCAL_MACHINE （E MeiZu5）No. 0002F68C022B070F＆0（Meizu E5）删除其相应的记录，并且2、3、4必须升级为“完全控制”。实际效果：1.使用2种“ U盘用法检测软件”“无法监视使用记录。但是检测软件非常不同，类型很多，并且没有经过一一测试。2.删除四个键值后，再次插入E5，然后任务栏将再次出现，以查找新硬件并安装新硬件。一些移动存储将安装内置驱动程序和软件以实现加密，并备份以及其他功能，并保留痕迹，以便可以监视和写入添加的文件。手头没有这样的东西，所以我不能讨论。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/sanxing/article-323770-1.html