Perché convertire HVE in JSON?
Un file .hve è un hive di registro binario, ed esportarlo in .JSON fornisce una struttura nidificata leggibile dalle macchine che script, SIEM e pipeline DFIR possono ingerire. Ogni chiave diventa un oggetto con le sue sottochiavi, nomi dei valori, dati e timestamp.
Come convertire HVE in JSON
regipy OPEN-SOURCE
Installa con pip install regipy[full], quindi esegui regipy-dump hive.hve -o out.json per scaricare l'intero hive in JSON.
python-registry
Usa la libreria per aprire l'hive con Registry.Registry("hive.hve"), scorri le chiavi in modo ricorsivo e serializza ogni voce con il modulo json di Python.
regipy (modalità libreria)
In Python, itera su RegistryHive("hive.hve").recurse_subkeys(as_json=True) e scrivi gli oggetti in un file .json per un output personalizzato.
Informazioni su questi formati
Un file .hve è un hive del Registro di Windows: un database binario che memorizza chiavi e valori del registro nel formato regf. Quello che più probabilmente incontrerai è Amcache.hve, un…
Apri dettagli .HVE →Un file JSON è un file di dati in formato testo semplice (plain-text) basato sulla JavaScript Object Notation, utilizzato da API web, configurazioni di app ed esportazioni di dati.…
Apri dettagli .JSON →Qualità e a cosa prestare attenzione
- I valori binari (
REG_BINARY) e alcuni valori codificati sono memorizzati come stringhe esadecimali o base64, non come tipi nativi. - Un dump completo dell'hive può essere molto grande, poiché ogni chiave, valore e timestamp viene serializzato.
- I log delle transazioni (
.LOG1/.LOG2) non vengono applicati a meno che non vengano riprodotti prima, quindi le modifiche recenti potrebbero mancare.
Domande frequenti
Quale comando scarica un hive in JSON?
regipy-dump hive.hve -o out.json analizza l'hive offline e scrive l'intero albero come JSON.Il formato JSON è migliore del CSV per un hive di registro?
Questi strumenti funzionano senza Windows?
.hve e sono indipendenti dal sistema operativo.