Perché convertire HVE in CSV?
Un .hve è un hive binario del Registro di Windows, il quale non è leggibile in Excel, quindi gli investigatori esportano chiavi, valori e timestamp in .CSV per il filtraggio, l'ordinamento e la reportistica. La conversione è in realtà un'estrazione strutturata: ogni riga è una voce di registro (percorso, nome valore, dati, ora dell'ultima scrittura).
Come convertire HVE in CSV
AmcacheParser
Per un Amcache.hve, esegui AmcacheParser.exe -f Amcache.hve --csv C:\out. Scriverà diversi CSV come Amcache_UnassociatedFileEntries.csv.
Registry Explorer FREE
Carica l'hive, quindi usa File poi Esporta (o un segnalibro/plugin) per salvare la visualizzazione corrente o il set di chiavi come .csv.
RegRipper
Esegui un plugin compatibile con CSV, ad esempio rip.exe -r NTUSER.DAT -p <plugin>, e reindirizza l'output; diversi plugin emettono righe separate da virgole.
dump-registry-hive.py OPEN-SOURCE
Lo script di Didier Stevens scarica REG_SZ/REG_BINARY e altri valori in CSV per impostazione predefinita: python dump-registry-hive.py hive.hve > out.csv.
Informazioni su questi formati
Un file .hve è un hive del Registro di Windows: un database binario che memorizza chiavi e valori del registro nel formato regf. Quello che più probabilmente incontrerai è Amcache.hve, un…
Apri dettagli .HVE →Un file CSV memorizza dati tabulari come testo normale - una riga per riga, valori separati da virgole (o punti e virgola nelle impostazioni locali europee). Qualsiasi foglio di calcolo lo…
Apri dettagli .CSV →Qualità e a cosa prestare attenzione
- Il CSV cattura solo le chiavi, i valori e i timestamp estratti da uno strumento o plugin, non l'intera struttura dell'hive o i descrittori di sicurezza.
- I valori binari (
REG_BINARY) vengono appiattiti in esadecimale/testo e perdono la loro tipizzazione nativa in un foglio di calcolo. - Strumenti diversi producono colonne diverse e file multipli, quindi i risultati non sono intercambiabili.
Domande frequenti
Quale strumento è il migliore per Amcache.hve in CSV?
--csv.Posso aprire un .hve direttamente in Excel?
.csv.Il CSV include ogni chiave di registro?
Ho bisogno che l'hive sia montato in Windows?
.hve offline senza caricarlo nel registro attivo.