Hoe schoont u CIDSizeMRU op onder Windows?

CIDSizeMRU bevindt zich vlak naast LastVisitedPidlMRU, onder HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\CIDSizeMRU. Ondanks de naam is dit niet zomaar een vensterformaat. Elke vermelding is een genummerd MRU-slot (0, 1, 2...) waarvan de waardegegevens een UTF-16-tekenreeks zijn, met een MRUListEx waarde die bijhoudt welk slot het meest recent is gebruikt. Bij inspectie van een actief register kan een slot de naam bevatten van de toepassing die het gemeenschappelijke open/opslaan-dialoogvenster gebruikte, bijvoorbeeld mspaint.exe. Forensisch referentiemateriaal documenteert ook dat deze sleutel in andere gevallen daadwerkelijke bestandsnamen bevat, waardoor onderzoekers deze beschouwen als ondersteunend bewijs naast OpenSavePidlMRU bij het reconstrueren welke documenten, inclusief gevoelige, via een dialoogvenster zijn geopend.

Hoe dan ook, of het nu een toepassingsnaam of een documentnaam betreft, het is een vermelding die het waard is om te wissen. PrivaZer verwijdert deze vermeldingen samen met LastVisitedPidlMRU.

De naam van de sleutel is misleidend: wat er daadwerkelijk wordt opgeslagen is geen formaat maar een identificerende tekenreeks, een toepassingsnaam in het geval dat we hebben onderzocht, hoewel forensisch referentiemateriaal ook documentbestandsnamen documenteert die hier kunnen verschijnen, elk in zijn eigen genummerde slot, waarbij MRUListEx de volgorde bijhoudt. Dat maakt het een echte gebruiksregistratie, waardevol voor onderzoekers als ondersteunend bewijs naast OpenSavePidlMRU bij het identificeren welke bestanden via een dialoogvenster zijn geopend. PrivaZer wist deze vermeldingen zodat dat spoor niet langer in het register staat.

Ja. PrivaZer detecteert en verwijdert de waarden onder ComDlg32\CIDSizeMRU als onderdeel van een scan, en kan ze ook afzonderlijk aanpakken.

Net als zijn ComDlg32-verwant LastVisitedPidlMRU bevindt dit zich volledig onder uw per-gebruiker hive (HKEY_CURRENT_USER). PrivaZer verwijdert de waarden rechtstreeks, zonder vergrendeling om te omzeilen, zonder herstart nodig, en zonder dat beheerdersrechten vereist zijn omdat het uw eigen gebruikershive betreft.

Ja. Het sluiten van het dialoogvenster, of het verwijderen van het programma dat het gebruikte, verwijdert het slot niet. Wat de vermelding ook aangeeft, een toepassing die niet meer is geïnstalleerd of een document dat u inmiddels hebt verwijderd, blijft in het register staan totdat iets het overschrijft of verwijdert. Door CIDSizeMRU op te schonen verwijdert u dit achtergebleven spoor.

Ja. Het opschonen ervan raakt uw bestanden, geïnstalleerde programma's of de systeemstabiliteit niet aan. Windows begint gewoon opnieuw te registreren zodra u voortaan open/opslaan-dialoogvensters gebruikt. Als de naam van de sleutel inderdaad overeenkomt met bepaald dialooggedrag in sommige toepassingen, ziet u hoogstens dat een dialoogvenster kort opnieuw opent op de standaardgrootte voordat Windows uw voorkeur weer onthoudt.

Ja, en dat is normaal. De volgende toepassing die het gemeenschappelijke open/opslaan-dialoogvenster gebruikt, krijgt een nieuw slot. Opschonen verwijdert het historische spoor tot dat moment. Voer PrivaZer regelmatig uit om dit spoor kort te houden.

Ze bevinden zich in dezelfde ComDlg32-tak en delen dezelfde MRU-lijststructuur, en blijken nauwer verwant dan de namen doen vermoeden. LastVisitedPidlMRU koppelt een specifieke toepassing aan een specifieke map, gecodeerd als een PIDL die het verwijderen van de schijf kan overleven. CIDSizeMRU registreert een identificerende tekenreeks, in de vermelding die we onderzochten een toepassingsnaam, hoewel het ook een documentbestandsnaam kan bevatten, in elk genummerd slot, zonder gekoppelde map. Forensisch onderzoekers gebruiken het om te bevestigen wat OpenSavePidlMRU laat zien over welke bestanden zijn geopend of opgeslagen.

Zie: LastVisitedPidlMRU (meest recent gebruikte bestanden in open/opslaan-dialoogvensters).