Was ist das HVE-Dateiformat?
Eine .hve-Datei ist ein Windows-Registrierungs-Hive, eine binäre Datenbank, die Registrierungsschlüssel und -werte im regf-Format von Microsoft speichert. Dieses Format ist seit Windows NT 3.1 im Jahr 1993 Teil von Windows. Jeder Hive beginnt mit einem 4096-Byte-Basisblock, dessen erste vier Bytes regf lauten, gefolgt von Hive-Bins, die die eigentlichen Schlüssel, Werte und Sicherheitsbeschreibungen enthalten.
Die meisten Kern-Hives von Windows, wie SYSTEM, SOFTWARE und NTUSER.DAT, verwenden dasselbe Format ohne Dateiendung. Die explizite Endung .hve taucht hauptsächlich bei Amcache.hve auf, einer Datei in C:\Windows\appcompat\Programs, die aufzeichnet, welche Programme ausgeführt wurden, zusammen mit deren Pfaden, Zeitstempeln und oft einem SHA-1-Hash. Das macht sie zu einem bevorzugten Artefakt für forensische Analysten.
Sicherheit
RISIKO: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Formatdetails
kurz gefasstVOLLSTÄNDIGER NAMEWindows Registry Hive Filealias Registry hive, REGF hive
ENTWICKLERMicrosoftseit 1993 (Windows NT 3.1; regf format)
KATEGORIEBetriebssystemdateien
MIME TYPEapplication/octet-stream
TYPBinary hierarchical database (registry hive)
Diese Erweiterung wird auch verwendet von…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · DATEISIGNATUR
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programme zum Öffnen von HVE-Dateien
Windows5 apps
Registry Explorer (Eric Zimmerman)
Kostenlos Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Kostenlos Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Open Source Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Integriert In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Kostenlos Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Open Source Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Open Source Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Open Source Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Technische Details
technische Spezifikation| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Veröffentlicht | 1993 (Windows NT 3.1; regf format) |
| Neueste Version | Format version 1.5 (minor) |
| Spezifikation | github.com |
HVE-Konvertierungen
Möglich
.HVE .REGOnline-Konverter
Ja - eine .hve-Struktur kann in eine Textdatei vom Typ .reg exportiert werden, die regedit lesen und…
So konvertieren Sie
.HVE .CSVANLEITUNG
Ja - eine .hve-Registry-Struktur kann mit forensischen Registry-Tools analysiert und in eine…
So konvertieren Sie
.HVE .TXTOnline-Konverter
Ja - eine .hve-Struktur kann mit forensischen Registry-Tools als lesbarer .txt-Bericht dargestellt werden.
So konvertieren Sie
.HVE .JSONANLEITUNG
Ja - ein .hve-Hive kann mithilfe von Offline-Registry-Bibliotheken wie regipy oder python-registry in…
So konvertieren Sie
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu HVE-Dateien.
Häufig gestellte Fragen
Was ist eine Amcache.hve-Datei?
Amcache.hve ist die häufigste
.hve-Datei. Es handelt sich um einen Windows-Registrierungs-Hive, der in C:\Windows\appcompat\Programs gespeichert ist und aufzeichnet, welche Programme ausgeführt wurden, einschließlich ihres vollständigen Pfads, der Zeitstempel und oft eines SHA-1-Hashs. Sie wird häufig in der digitalen Forensik verwendet.Wie öffne ich eine .hve-Datei?
Verwenden Sie einen Registry-Viewer. Eric Zimmermans Registry Explorer öffnet einen Offline-
.hve-Hive zum Durchsuchen, oder Sie können ihn in regedit über Datei > Struktur laden einbinden. Für automatisiertes Parsing verwenden Sie AmcacheParser oder RegRipper.Kann ich eine .hve-Datei durch Doppelklicken öffnen?
Nein. Windows verknüpft
.hve nicht mit einem Anzeigeprogramm, und ein Hive ist eine binäre Datenbank und kein Dokument. Sie müssen ihn in einen Registry-Viewer oder einen forensischen Parser laden.Ist es sicher, eine .hve-Datei zu löschen?
Nicht, wenn das System sie verwendet. Das Löschen oder Verschieben eines aktiven Registrierungs-Hives kann Anwendungen beschädigen oder den Start von Windows verhindern. Eine verwaiste Kopie, die durch einen forensischen Export entstanden ist, kann sicher entfernt werden.
Was ist der Unterschied zwischen einer .hve-Datei und einer .dat-Registrierungsdatei?
Beide verwenden dasselbe regf-Hive-Format.
NTUSER.DAT und UsrClass.dat sind benutzerbezogene Hives mit der Endung .dat, während .hve am häufigsten Amcache.hve kennzeichnet. Die interne Struktur ist identisch.Warum kann ich eine .hve-Datei nicht auf einem laufenden Windows-System öffnen?
Aktive Hives sind vom Betriebssystem gesperrt. Arbeiten Sie an einer Kopie, die mit einem forensischen Tool erstellt wurde, oder verwenden Sie die Funktion «Struktur laden» von
regedit bei einer Offline-Kopie.Quellen
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
