5、将Art.exe复制到安装目录中，点击替换目标中的文件，默认路径C:\Program Files (x86)\ElcomSoft\Advanced Registry Tracer
功能特色
1、Advanced Registry Tracer（ART）是一种实用程序，用于分析对Windows Registry所做的更改。
2、ART通过制作注册表的“快照”并将其保存在其数据库中来实现此目的，您以后可以方便地浏览它们。
3、您可以比较任意两个快照，并获取新的，删除的或修改的密钥和数据的列表。
4、ART可以比较整个注册表或注册表的任何键。
5、它还可以从比较结果中排除注册表的键。
6、使用ART，您可以创建撤消/重做文件（例如，回滚更改）。
7、若要查看键的当前状态或对其进行修改，可以使用ART的“跳转到注册表编辑器”功能。
8、可以将任何密钥的内容导出到标准* .reg文件（新格式或旧格式）。
使用帮助
1、注册表扫描
第一步是创建注册表的初始副本（快照）。首次运行ART时，它将自动创建快照，并将扫描结果保存在其数据库文件（默认为ART_DB.rgf）中。
要手动执行此操作，请选择菜单项“注册表|注册表”。扫描或单击工具栏上的“扫描注册表注册”按钮。
可以使用以下三种模式之一进行扫描：
1）整个注册表。
2）当前密钥，在当前密钥字段中定义。
3）使用选定的过滤器（请参阅过滤器）。
根据注册表的大小和您的计算机资源，此过程可能仅花费几秒钟或一分钟。过程持续时间（以秒为单位）显示在状态栏上。注册表的副本以树的文件夹形式显示。扫描文件夹的名称是扫描日期。扫描称为快照。
注意：RAM中最多同时存储两个快照。存储在RAM中的快照称为活动快照，其文件夹为绿色。不活动的快照以灰色显示。对于非活动快照，只能访问菜单项“注释”。
如果要查看，比较，搜索或设置其初始扫描选项，则快照必须处于活动状态。要切换到活动模式，只需打开树的相关节点即可。唯一需要时间的过程是将文件中的数据加载到内存中。
如果一棵树有两个活动快照，而您打开了另一个快照，则先前打开的快照之一将根据“编辑”|“快照”中的设置关闭。设置|一般。
默认设置为“关闭未选中的快照”；在这种情况下，保持活动状态的快照就是包含当前选定节点的快照。
选择“关闭最旧的快照”或“关闭最新的快照”将关闭具有较旧或较新创建日期的快照。
如果选择“要求确认”，则会出现一个对话框，让您选择要关闭的快照（切换到非活动模式）。
仅在打开数据库文件时才可以进行扫描。该文件可能是新创建的（空），也可能包含许多扫描的快照。
每个新扫描的快照都会自动保存到数据库文件中。
可以在“编辑”|“更改”中更改ART数据库文件。设置|一般
扫描后，可以通过右键单击任何键的属性并选择“属性”来查看任何键的属性。
通过在“快照”节点上单击鼠标右键并选择“注释”，可以添加注释（最多2000个字符）。
在扫描过程中，计算机名称，操作系统以及（如果扫描了系统的一部分）相关路径（键名）会自动添加到注释中。
2、搜索
与注册表编辑器的搜索选项相比，ART中提供了一个额外的区分大小写的搜索选项。这样可以将搜索持续时间减少到一小部分时间。您可以同时搜索主窗口中显示的所有快照。
您可以独立于主窗口在“比较”窗口中搜索search。
搜索结果显示为包含“关键路径”以及“名称和数据”的行（如果适用于搜索）。通过双击搜索结果中的一行，可以在快照的相应键中打开一棵树，如果该行中显示的快照当时未处于活动状态，则将其打开，这会花费一些额外的时间。如果在“查找”字段中输入关键路径，则单击“查找路径”按钮将带您到显示该关键路径的主窗口。
在“高级条件”选项卡上，您可以设置搜索条件，例如数据类型，在基于NT的系统上，还可以指定修改日期范围。
如果您仅对注册表中的最新更改感兴趣，则此功能很有用。
如果您清空“查找”字段（或将其保留为空），ART将搜索符合您指定的任何高级条件的所有数据。
在“比较”窗口中显示搜索结果的唯一区别是，有一个新字段“树”，其中树对象在数据中显示为“已删除”，“已添加”或“已区别”。
3、书签
ART中的书签书签是注册表的键（路径）列表。
您可以根据需要创建任意数量的书签列表，并根据当前任务使用它们。
您可以在“书签”窗口中查看和编辑任何键。您对列表所做的任何更改都会同时显示在其树中，反之亦然。
当前列表可以进行以下操作：
1）有两种将键添加到列表中的可能方法：
-在主窗口中突出显示树的所需键，右键单击它并使用上下文菜单中的功能标记键。所选的密钥将带有复选标记图标标记。
-在“书签”窗口的“密钥”字段中指定密钥（路径），然后单击“添加”按钮。
如果要保存标记或排除的数据，则应创建一个新的列表（请参见下文）。
2）还有三种从列表中删除密钥的可能方法：
-通过使用功能标记键取消标记标记的键。
-在“书签”窗口列表中突出显示键，右键单击并选择“删除”。
-您可以通过单击取消标记“取消标记所有子键”的书签来取消标记活动键的所有已标记子键。
3）更换。这样可以编辑突出显示的键的路径或描述。在“书签”窗口中对活动键的“键”和/或“描述”字段进行所需的更改，然后单击“替换”以应用更改。
4）您可以通过单击“添加描述”按钮在“描述”字段中添加或编辑活动键的描述。
5）要查看活动键中的所有标记的子键，请单击按钮书签查看扩展标记的键。
在特定树中标记了密钥之后，您还可以轻松地在其他树中用相同的路径标记所有密钥。
可以对列表进行以下操作：
1）您可以通过在“书签”窗口的“书签”字段中输入新列表名称来创建新列表。使用菜单项编辑|单击“书签”以打开窗口，单击“添加新列表”按钮，在屏幕上显示的“列表名称”窗口中输入新列表的名称，然后进行确认。
如果您不输入名称，则创建的列表将在下一个会话之前保存。如果您只想为当前会话创建一个临时列表，而又不想以后删除它，这可能会有所帮助。
2）您可以通过单击“删除列表”按钮在“书签”窗口中删除活动列表（活动列表显示在“书签”字段中）。
3）您可以通过单击复制列表按钮来复制活动列表。
