Che cos'è il formato di file HVE?
Un file .hve è un hive del Registro di Windows, un database binario che memorizza chiavi e valori del registro nel formato regf di Microsoft. Tale formato fa parte di Windows fin da Windows NT 3.1 nel 1993. Ogni hive si apre con un blocco di base di 4096 byte i cui primi quattro byte leggono regf, seguiti dai bin dell'hive che contengono le chiavi effettive, i valori e i descrittori di sicurezza.
La maggior parte degli hive principali di Windows, come SYSTEM, SOFTWARE e NTUSER.DAT, utilizza questo stesso formato senza alcuna estensione. L'estensione esplicita .hve appare principalmente su Amcache.hve, un file in C:\Windows\appcompat\Programs che registra quali programmi sono stati eseguiti, insieme ai loro percorsi, timestamp e spesso un hash SHA-1. Ciò lo rende un reperto preferito per gli analisti forensi.
Sicurezza e incolumità
RISCHIO: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Dettagli del formato
in sintesiNOME COMPLETOWindows Registry Hive Fileanche noto come Registry hive, REGF hive
SVILUPPATOREMicrosoftdal 1993 (Windows NT 3.1; regf format)
CATEGORIAFile di sistema
TIPO MIMEapplication/octet-stream
TIPOBinary hierarchical database (registry hive)
Questa estensione è usata anche da…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · FIRMA DEL FILE
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programmi che aprono file HVE
Windows5 apps
Registry Explorer (Eric Zimmerman)
Gratuito Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Gratuito Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Open-source Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Integrato In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Gratuito Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Open-source Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Open-source Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Open-source Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Dettagli tecnici
specifiche approfondite| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Rilasciato | 1993 (Windows NT 3.1; regf format) |
| Ultima versione | Format version 1.5 (minor) |
| Specifica | github.com |
Conversioni HVE
Possibile
.HVE .REGConvertitore online
Sì - un hive .hve può essere esportato in un file di testo .reg che regedit può leggere e unire.
Come convertire
.HVE .CSVGUIDA
Sì - un hive del registro .hve può essere analizzato ed esportato in un formato .csv adatto ai fogli di…
Come convertire
.HVE .TXTConvertitore online
Sì - un hive .hve può essere reso come un report leggibile in .txt con strumenti di informatica forense.
Come convertire
.HVE .JSONGUIDA
Sì - un hive .hve può essere analizzato in un formato strutturato .json utilizzando librerie di registro…
Come convertire
Domande e risposte della community
chiesto dagli utentiAncora nessuna domanda - sii il primo a chiedere informazioni sui file HVE.
Domande frequenti
Cos'è un file Amcache.hve?
Amcache.hve è il file
.hve più comune. È un hive del Registro di Windows memorizzato in C:\Windows\appcompat\Programs che registra quali programmi sono stati eseguiti, inclusi il loro percorso completo, i timestamp e spesso un hash SHA-1. È ampiamente utilizzato nell'informatica forense.Come apro un file .hve?
Usa un visualizzatore di registro. Registry Explorer di Eric Zimmerman apre un hive
.hve offline per la navigazione, oppure puoi montarlo in regedit con File > Carica hive. Per l'analisi automatizzata, usa AmcacheParser o RegRipper.Posso aprire un file .hve con un doppio clic?
No. Windows non associa l'estensione
.hve a un visualizzatore, e un hive è un database binario piuttosto che un documento. È necessario caricarlo in un visualizzatore di registro o in un parser forense.È sicuro eliminare un file .hve?
Non se il sistema lo sta utilizzando. L'eliminazione o lo spostamento di un hive di registro attivo può interrompere le applicazioni o impedire l'avvio di Windows. Una copia isolata lasciata da un'esportazione forense può essere rimossa in sicurezza.
Qual è la differenza tra un file .hve e un file di registro .dat?
Entrambi utilizzano lo stesso formato hive regf.
NTUSER.DAT e UsrClass.dat sono hive per utente con l'estensione .dat, mentre .hve etichetta più spesso Amcache.hve. La struttura interna è identica.Perché non riesco ad aprire un file .hve su un sistema Windows in esecuzione?
Gli hive attivi sono bloccati dal sistema operativo. Lavora su una copia acquisita con uno strumento forense, oppure usa la funzione Carica hive di
regedit su una copia offline.Riferimenti
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
