Hvad er HVE-filformatet?
En .hve-fil er en Windows Registry-hive, en binær database, der gemmer registreringsnøgler og værdier i Microsofts regf-format. Dette format har været en del af Windows siden Windows NT 3.1 i 1993. Hver hive åbner med en 4096-byte baseblok, hvis første fire bytes læser regf, efterfulgt af hive-beholdere (bins), der indeholder de faktiske nøgler, værdier og sikkerhedsdeskriptorer.
De fleste kerne-hives i Windows, såsom SYSTEM, SOFTWARE og NTUSER.DAT, bruger det samme format uden nogen filendelse. Den eksplicitte .hve-endelse ses hovedsageligt på Amcache.hve, en fil i C:\Windows\appcompat\Programs, der registrerer, hvilke programmer der har kørt, sammen med deres stier, tidsstempler og ofte en SHA-1-hash. Det gør den til en favorit-artefakt for retsmedicinske analytikere.
Sikkerhed og tryghed
RISIKO: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Formatdetaljer
kort fortaltFULDSTÆNDIGT NAVNWindows Registry Hive Fileogså kendt som Registry hive, REGF hive
UDVIKLERMicrosoftsiden 1993 (Windows NT 3.1; regf format)
KATEGORISystemfiler
MIME-TYPEapplication/octet-stream
TYPEBinary hierarchical database (registry hive)
Dette filtypenavn bruges også af…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · FILSIGNATUR
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programmer der åbner HVE-filer
Windows5 apps
Registry Explorer (Eric Zimmerman)
Gratis Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Gratis Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Open-source Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Indbygget In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Gratis Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Open-source Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Open-source Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Open-source Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Tekniske detaljer
dyb specifikation| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Udgivet | 1993 (Windows NT 3.1; regf format) |
| Seneste version | Format version 1.5 (minor) |
| Specifikation | github.com |
HVE-konverteringer
Muligt
.HVE .REGOnline konverter
Ja - en .hve-hive kan eksporteres til en tekstbaseret .reg-fil, som regedit kan læse og flette.
Sådan konverterer du
.HVE .CSVGUIDE
Ja - en .hve registreringsdatabase-hive kan parses og eksporteres til regnearksvenlig .csv med retsmedicinske…
Sådan konverterer du
.HVE .TXTOnline konverter
Ja - en .hve-hive kan gengives som en læsbar .txt-rapport med retsmedicinske værktøjer.
Sådan konverterer du
.HVE .JSONGUIDE
Ja - en .hve-hive kan parses til struktureret .json ved hjælp af offline registreringsdatabiblioteker som…
Sådan konverterer du
Fællesskabets Q&A
spurgt af brugereIngen spørgsmål endnu - vær den første til at spørge om HVE-filer.
Ofte stillede spørgsmål
Hvad er en Amcache.hve-fil?
Amcache.hve er den mest almindelige
.hve-fil. Det er en Windows Registry-hive gemt i C:\Windows\appcompat\Programs, der registrerer, hvilke programmer der har kørt, herunder deres fulde sti, tidsstempler og ofte en SHA-1-hash. Den bruges i vid udstrækning i digital retsmedicin.Hvordan åbner jeg en .hve-fil?
Brug en registreringsdatabase-fremviser. Eric Zimmermans Registry Explorer åbner en offline
.hve-hive til gennemsyn, eller du kan montere den i regedit med Filer > Indlæs hive. Til automatiseret analyse skal du bruge AmcacheParser eller RegRipper.Kan jeg åbne en .hve-fil ved at dobbeltklikke på den?
Nej. Windows associerer ikke
.hve med en fremviser, og en hive er en binær database snarere end et dokument. Du skal indlæse den i en registreringsdatabase-fremviser eller en retsmedicinsk analysator.Er det sikkert at slette en .hve-fil?
Ikke hvis systemet bruger den. Sletning eller flytning af en aktiv registreringsdatabase-hive kan ødelægge applikationer eller forhindre Windows i at starte. En herreløs kopi efterladt af en retsmedicinsk eksport kan fjernes sikkert.
Hvad er forskellen på en .hve-fil og en .dat-registreringsfil?
Begge bruger det samme regf-hive-format.
NTUSER.DAT og UsrClass.dat er bruger-specifikke hives med filendelsen .dat, mens .hve oftest betegner Amcache.hve. Den interne struktur er identisk.Hvorfor kan jeg ikke åbne en .hve-fil på et kørende Windows-system?
Aktive hives er låst af operativsystemet. Arbejd på en kopi indsamlet med et retsmedicinsk værktøj, eller brug
regedits «Indlæs hive» på en offline kopi.Referencer
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
