Hvorfor konvertere HVE til JSON?
En .hve er en binær registreringsdatabase-hive, og eksport af den til .JSON giver en indlejret, maskinlæsbar struktur, som scripts, SIEM'er og DFIR-pipelines kan indlæse. Hver nøgle bliver til et objekt med sine undernøgler, værdisæt, data og tidsstempler.
Sådan konverterer du HVE til JSON
regipy OPEN-SOURCE
Installer med pip install regipy[full], og kør derefter regipy-dump hive.hve -o out.json for at dumpe hele hiven til JSON.
python-registry
Brug biblioteket til at åbne hiven med Registry.Registry("hive.hve"), gennemløb nøglerne rekursivt og serialiser hver post med Pythons json-modul.
regipy (bibliotekstilstand)
I Python kan du iterere over RegistryHive("hive.hve").recurse_subkeys(as_json=True) og skrive objekterne til en .json-fil for tilpasset output.
Om disse formater
En .hve-fil er en Windows Registry-hive: en binær database, der gemmer registreringsnøgler og værdier i regf-formatet. Den, du mest sandsynligt vil støde på, er Amcache.hve, en…
Åbn .HVE detaljer →
.JSON
JavaScript Object Notation file
En JSON-fil er en almindelig tekstdatafil i JavaScript Object Notation-format, der bruges af web-API'er, app-konfigurationer og dataeksporter. Enhver teksteditor kan åbne den - Notesblok i…
Åbn .JSON detaljer →Kvalitet & hvad man skal være opmærksom på
- Binære (
REG_BINARY) og visse kodede værdier gemmes som hex- eller base64-strenge, ikke som indfødte typer. - Et dump af en hel hive kan være meget stort, da hver nøgle, værdi og tidsstempel serialiseres.
- Transaktionslogfiler (
.LOG1/.LOG2) anvendes ikke, medmindre du afspiller dem først, så nylige ændringer kan mangle.
Ofte stillede spørgsmål
Hvilken kommando dumper en hive til JSON?
regipy-dump hive.hve -o out.json parser offline-hiven og skriver hele træet som JSON.Er JSON bedre end CSV til en registreringsdatabase-hive?
Fungerer disse værktøjer uden Windows?
.hve-filen direkte og er uafhængige af operativsystemet.
