Получить системный журнал из точки восстановления

Как извлечь содержимое реестра из предыдущей точки восстановления.

Мы всегда говорили, что, несмотря на то, что обновления функций Windows 10 после установки имеют неприятную привычку отключать утилиту восстановления системы, во многих ситуациях она полезна и необходима: Восстановление системы все еще существует: как оно работает.

В Windows 10 утилиту восстановления системы можно быстро повторно включить из окна PowerShell, открытого с правами администратора (Windows + X, Windows PowerShell, администратор), введя следующее:

Enable-ComputerRestore -диск «C:»
vssadmin изменить размер теневого хранилища /on=c: /for=c: /maxsize=8%

В этом примере восстановление системы будет активировано только на диске C:, а 8% места будет зарезервировано для постепенно создаваемых точек восстановления (это количество, очевидно, может быть изменено в процентном значении в соответствии с вашими потребностями).

Чтобы создать точку восстановления из окна PowerShell, вы можете ввести: Checkpoint-Computer «Имя точки восстановления»

Если вы хотите восстановить предыдущую точку восстановления, вы можете запустить утилиту, нажав Windows + R, затем введите rstrui.

В статье Восстановление предыдущей версии файла или папки в Windows 10 мы увидели, как запланировать автоматическое создание новых точек восстановления с помощью планировщика заданий Windows и как включить вкладку «Предыдущие версии» для восстановления измененных или удаленных файлов и папок.

После включения восстановления системы обязательно, чтобы у вас также были теневые копии содержимого диска, созданные путем открытия командной строки с правами администратора и использования следующей команды:
вызов теневой копии wmic create Volume=C:

В противном случае процедура, описанная ниже, не будет применяться. Также важно открыть командную строку с правами администратора, иначе вы получите ошибку инициализации.

Как восстановить системный журнал из точки восстановления

После включения создания точек восстановления в Windows 10, путем перезагрузки системы с экрана загрузки (это можно сделать, удерживая клавишу SHIFT при нажатии на кнопку «Перезагрузить» в меню «Пуск»; см. также меню «Параметры запуска» Windows 10: cos ‘is и для чего это нужно и Windows 10: параметры запуска, вызываемые из контекстного меню для альтернативных методов) и, нажав «Устранение неполадок», «Дополнительные параметры», «Командная строка», вы можете получить доступ к содержимому версии реестра, хранящейся в точке восстановления (на системы, защищенные с помощью Microsoft BitLocker, вам потребуется ввести код восстановления, чтобы разблокировать содержимое диска, содержащего установку Windows 10).

После проверки буквы диска, соответствующей диску, на котором размещена Windows 10 (вы можете помочь себе с помощью команд dir C:, dir D: и так далее), необходимо применить следующую процедуру:

1) Набрать cd /d C:windowssystem32 (подставив правильную букву диска).

2) Введите следующую команду, чтобы просмотреть список копий, созданных и доступных для возможного восстановления:
vssadmin список теней
Обратите внимание на путь, который отображается рядом с томом теневого копирования.

3) Создайте символическую ссылку, набрав mklink /dc:shadowcopy, а затем путь, прочитанный на Shadow Copy Volume.

4) В папке C:shadowcopyWindowsSystem32config вы найдете содержимое предыдущей копии реестра.

Набрав regedit, выбрав File, Load hive, затем выбрав один из компонентов реестра из папки C:shadowcopyWindowsSystem32config, можно временно смонтировать его содержимое и, возможно, извлечь информацию, необходимую для восстановления. Процедура подробно описана в статье Реестр: утилита для извлечения его содержимого.