Qu'est-ce que le format de fichier HVE ?
Un fichier .hve est une ruche du Registre Windows, une base de données binaire qui stocke des clés et des valeurs de registre au format regf de Microsoft. Ce format fait partie de Windows depuis Windows NT 3.1 en 1993. Chaque ruche s'ouvre par un bloc de base de 4096 octets dont les quatre premiers octets indiquent regf, suivi de bacs de ruche (« hive bins ») qui contiennent les clés, les valeurs et les descripteurs de sécurité réels.
La plupart des ruches Windows de base, telles que SYSTEM, SOFTWARE et NTUSER.DAT, utilisent ce même format sans aucune extension. L'extension explicite .hve apparaît principalement sur Amcache.hve, un fichier situé dans C:\Windows\appcompat\Programs qui enregistre les programmes ayant été exécutés, ainsi que leurs chemins, leurs horodatages et souvent un hachage SHA-1. Cela en fait un artefact privilégié pour les analystes forensiques.
Sécurité et sûreté
RISQUE : MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Détails du format
en brefNOM COMPLETWindows Registry Hive Filealias Registry hive, REGF hive
DÉVELOPPEURMicrosoftdepuis 1993 (Windows NT 3.1; regf format)
CATÉGORIEFichiers système
TYPE MIMEapplication/octet-stream
TYPEBinary hierarchical database (registry hive)
Cette extension est également utilisée par…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
OCTETS MAGIQUES · SIGNATURE DE FICHIER
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programmes qui ouvrent les fichiers HVE
Windows5 apps
Registry Explorer (Eric Zimmerman)
Gratuit Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Gratuit Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Open-source Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Intégré In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Gratuit Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Open-source Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Open-source Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Open-source Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Détails techniques
spécifications approfondies| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Publié | 1993 (Windows NT 3.1; regf format) |
| Dernière version | Format version 1.5 (minor) |
| Spécification | github.com |
Conversions HVE
Possible
.HVE .REGConvertisseur en ligne
Oui - une ruche .hve peut être exportée vers un fichier texte .reg que regedit peut lire et fusionner.
Comment convertir
.HVE .CSVGUIDE
Oui - une ruche de registre .hve peut être analysée et exportée vers un format .csv compatible avec les…
Comment convertir
.HVE .TXTConvertisseur en ligne
Oui - une ruche .hve peut être rendue sous forme de rapport .txt lisible avec des outils de criminalistique…
Comment convertir
.HVE .JSONGUIDE
Oui - une ruche .hve peut être analysée en un .json structuré à l'aide de bibliothèques de registre hors…
Comment convertir
Q&R de la communauté
posées par les utilisateursPas encore de questions - soyez le premier à poser une question sur les fichiers HVE.
Foire aux questions
Qu'est-ce qu'un fichier Amcache.hve ?
Amcache.hve est le fichier
.hve le plus courant. Il s'agit d'une ruche du Registre Windows stockée dans C:\Windows\appcompat\Programs qui enregistre les programmes ayant été exécutés, y compris leur chemin complet, leurs horodatages et souvent un hachage SHA-1. Il est largement utilisé en criminalistique numérique.Comment ouvrir un fichier .hve ?
Utilisez un visionneur de registre. Registry Explorer d'Eric Zimmerman ouvre une ruche
.hve hors ligne pour la navigation, ou vous pouvez la monter dans regedit via Fichier > Charger la ruche. Pour une analyse automatisée, utilisez AmcacheParser ou RegRipper.Puis-je ouvrir un fichier .hve en double-cliquant dessus ?
Non. Windows n'associe pas
.hve à un visionneur, et une ruche est une base de données binaire plutôt qu'un document. Vous devez la charger dans un visionneur de registre ou un analyseur forensique.Est-il sûr de supprimer un fichier .hve ?
Pas si le système l'utilise. Supprimer ou déplacer une ruche de registre active peut casser des applications ou empêcher Windows de démarrer. Une copie isolée laissée par un export forensique peut être supprimée en toute sécurité.
Quelle est la différence entre un fichier .hve et un fichier de registre .dat ?
Les deux utilisent le même format de ruche regf.
NTUSER.DAT et UsrClass.dat sont des ruches par utilisateur avec l'extension .dat, tandis que .hve désigne le plus souvent Amcache.hve. La structure interne est identique.Pourquoi ne puis-je pas ouvrir un fichier .hve sur un système Windows en cours d'exécution ?
Les ruches actives sont verrouillées par le système d'exploitation. Travaillez sur une copie capturée avec un outil forensique, ou utilisez la fonction « Charger la ruche » de
regedit sur une copie hors ligne.Références
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
