HVE ファイル形式とは？
.hveファイルはWindowsレジストリハイブであり、Microsoftのregf形式でレジストリキーと値を保存するバイナリデータベースです。この形式は、1993年のWindows NT 3.1以来、Windowsの一部となっています。すべてのハイブは4096バイトのベースブロックで始まり、最初の4バイトはregfと読み取れます。その後に、実際のキー、値、セキュリティ記述子を保持するハイブビンが続きます。
SYSTEM、SOFTWARE、NTUSER.DATなど、ほとんどの主要なWindowsハイブは拡張子なしでこの同じ形式を使用しています。明示的な.hve拡張子は、主にC:\Windows\appcompat\ProgramsにあるAmcache.hveで見られます。このファイルは、実行されたプログラム、そのパス、タイムスタンプ、および多くの場合SHA-1ハッシュを記録します。そのため、フォレンジックアナリストにとってお気に入りのアーティファクトとなっています。
セキュリティと安全性
リスク： MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
形式の詳細
概要正式名称Windows Registry Hive File別名 Registry hive, REGF hive
開発元Microsoft登場時期 1993 (Windows NT 3.1; regf format)
カテゴリシステムファイル
MIME タイプapplication/octet-stream
タイプBinary hierarchical database (registry hive)
この拡張子は以下でも使用されています…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
マジックバイト ・ ファイルシグネチャ
オフセット
00010203
16進数
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
HVE ファイルを開くプログラム
Windows5 apps
Registry Explorer (Eric Zimmerman)
無料 Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
無料 Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
オープンソース Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
標準搭載 In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
無料 Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
オープンソース Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
オープンソース Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
オープンソース Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. 技術的詳細
詳細仕様| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| リリース日 | 1993 (Windows NT 3.1; regf format) |
| 最新バージョン | Format version 1.5 (minor) |
| 仕様書 | github.com |
HVE の変換
可能
.HVE .REGオンラインコンバーター
はい - .hve ハイブは、regedit が読み込みおよび結合可能なテキスト形式の .reg ファイルにエクスポートできます。
変換方法
.HVE .CSVガイド
はい - .hve レジストリハイブは、フォレンジックレジストリツールを使用して解析し、スプレッドシートに適した .csv にエクスポートできます。
変換方法
.HVE .TXTオンラインコンバーター
はい - .hve ハイブは、フォレンジックレジストリツールを使用して読み取り可能な .txt レポートとしてレンダリングできます。
変換方法
.HVE .JSONガイド
はい - regipy や python-registry などのオフラインレジストリライブラリを使用して、.hve ハイブを構造化された .json に解析できます。
変換方法
コミュニティ Q&A
ユーザーからの質問まだ質問はありません。HVE ファイルについて最初の質問をしてみましょう。
よくある質問
Amcache.hveファイルとは何ですか？
Amcache.hveは最も一般的な
.hveファイルです。これはC:\Windows\appcompat\Programsに保存されているWindowsレジストリハイブで、実行されたプログラムのフルパス、タイムスタンプ、および多くの場合SHA-1ハッシュを記録します。デジタルフォレンジックで広く使用されています。.hveファイルを開くにはどうすればよいですか？
レジストリビューアーを使用してください。Eric Zimmerman氏のRegistry Explorerは、閲覧用にオフラインの
.hveハイブを開くことができます。また、regeditの「ファイル」 > 「ハイブの読み込み」でマウントすることも可能です。自動解析には、AmcacheParserやRegRipperを使用してください。.hveファイルをダブルクリックして開くことはできますか？
いいえ。Windowsは
.hveをビューアーに関連付けておらず、ハイブはドキュメントではなくバイナリデータベースです。レジストリビューアーまたはフォレンジックパーサーに読み込む必要があります。.hveファイルを削除しても安全ですか？
システムが使用している場合は安全ではありません。アクティブなレジストリハイブを削除または移動すると、アプリケーションが壊れたり、Windowsが起動しなくなったりする可能性があります。フォレンジックエクスポートによって残された不要なコピーであれば、安全に削除できます。
.hveファイルと.datレジストリファイルの違いは何ですか？
どちらも同じ
regfハイブ形式を使用しています。NTUSER.DATやUsrClass.datは.dat拡張子を持つユーザーごとのハイブであり、.hveは多くの場合Amcache.hveを指します。内部構造は同一です。実行中のWindowsシステムで.hveファイルを開けないのはなぜですか？
アクティブなハイブはオペレーティングシステムによってロックされています。フォレンジックツールでキャプチャしたコピーに対して作業するか、オフラインコピーに対して
regeditの「ハイブの読み込み」を使用してください。参考文献
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
