Hvorfor konvertere HVE til CSV?
En .hve er en binær Windows-registreringsdatabase-hive, som er ulæselig i Excel, så efterforskere eksporterer nøgler, værdier og tidsstempler til .CSV for filtrering, sortering og rapportering. Konverteringen er reelt en struktureret udtrækning: hver række er en post (sti, værdi-navn, data, tidspunkt for sidste skrivning).
Sådan konverterer du HVE til CSV
AmcacheParser
For en Amcache.hve, kør AmcacheParser.exe -f Amcache.hve --csv C:\out. Den skriver flere CSV-filer såsom Amcache_UnassociatedFileEntries.csv.
Registry Explorer FREE
Indlæs hiven, og brug derefter File og derefter Export (eller et bogmærke/plugin) til at gemme den aktuelle visning eller nøglesæt som en .csv.
RegRipper
Kør et CSV-kompatibelt plugin, f.eks. rip.exe -r NTUSER.DAT -p <plugin>, og omdiriger output; flere plugins genererer kommaseparerede rækker.
dump-registry-hive.py OPEN-SOURCE
Didier Stevens' script dumper REG_SZ/REG_BINARY og andre værdier til CSV som standard: python dump-registry-hive.py hive.hve > out.csv.
Om disse formater
En .hve-fil er en Windows Registry-hive: en binær database, der gemmer registreringsnøgler og værdier i regf-formatet. Den, du mest sandsynligt vil støde på, er Amcache.hve, en…
Åbn .HVE detaljer →En CSV-fil gemmer tabeldata som almindelig tekst - én række pr. linje, værdier adskilt af kommaer (eller semikolon i europæiske lande). Alle regneark kan åbne den: Excel, Google Sheets,…
Åbn .CSV detaljer →Kvalitet & hvad man skal være opmærksom på
- CSV fanger kun de nøgler, værdier og tidsstempler, som et værktøj eller plugin udtrækker, ikke hele hive-strukturen eller sikkerhedsdeskriptorer.
- Binære (
REG_BINARY) værdier flades ud til hex/tekst og mister deres oprindelige type i et regneark. - Forskellige værktøjer producerer forskellige kolonner og flere filer, så resultaterne er ikke indbyrdes udskiftelige.
Ofte stillede spørgsmål
Hvilket værktøj er bedst til Amcache.hve til CSV?
--csv.Kan jeg åbne en .hve direkte i Excel?
.csv.Indeholder CSV-filen alle nøgler?
Skal hiven være monteret i Windows?
.hve-fil direkte uden at indlæse den i den aktive registreringsdatabase.