Wat is het HVE-bestandsformaat?
Een .hve-bestand is een Windows Registry hive, een binaire database die registersleutels en -waarden opslaat in het regf-formaat van Microsoft. Dat formaat maakt sinds Windows NT 3.1 in 1993 deel uit van Windows. Elke hive begint met een basisblok van 4096 bytes waarvan de eerste vier bytes regf lezen, gevolgd door „hive bins” die de eigenlijke sleutels, waarden en beveiligingsdescriptors bevatten.
De meeste kernhives van Windows, zoals SYSTEM, SOFTWARE en NTUSER.DAT, gebruiken ditzelfde formaat zonder enige extensie. De expliciete .hve-extensie verschijnt voornamelijk bij Amcache.hve, een bestand in C:\Windows\appcompat\Programs dat registreert welke programma's zijn uitgevoerd, samen met hun paden, tijdstempels en vaak een SHA-1 hash. Dat maakt het een favoriet artefact voor forensisch analisten.
Beveiliging & veiligheid
RISICO: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Formaatdetails
in een notendopVOLLEDIGE NAAMWindows Registry Hive Fileook bekend als Registry hive, REGF hive
ONTWIKKELAARMicrosoftsinds 1993 (Windows NT 3.1; regf format)
CATEGORIESysteembestanden
MIME-TYPEapplication/octet-stream
TYPEBinary hierarchical database (registry hive)
Deze extensie wordt ook gebruikt door…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · BESTANDSSIGNATUUR
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programma's die HVE-bestanden openen
Windows5 apps
Registry Explorer (Eric Zimmerman)
Gratis Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Gratis Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Open-source Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Ingebouwd In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Gratis Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Open-source Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Open-source Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Open-source Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Technische details
diepe specificaties| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Uitgebracht | 1993 (Windows NT 3.1; regf format) |
| Laatste versie | Format version 1.5 (minor) |
| Specificatie | github.com |
HVE conversies
Mogelijk
.HVE .REGOnline converter
Ja - een .hve-hive kan worden geëxporteerd naar een tekstueel .reg-bestand dat regedit kan lezen en…
Hoe te converteren
.HVE .CSVGIDS
Ja - een .hve register-hive kan worden geparseerd en geëxporteerd naar een spreadsheet-vriendelijke .csv met…
Hoe te converteren
.HVE .TXTOnline converter
Ja - een .hve-hive kan worden weergegeven als een leesbaar .txt-rapport met forensische registertools.
Hoe te converteren
.HVE .JSONGIDS
Ja - een .hve-hive kan worden geparseerd naar gestructureerde .json met behulp van offline…
Hoe te converteren
Community V&A
gevraagd door gebruikersNog geen vragen - wees de eerste om iets te vragen over HVE-bestanden.
Veelgestelde vragen
Wat is een Amcache.hve-bestand?
Amcache.hve is het meest voorkomende
.hve-bestand. Het is een Windows Registry hive opgeslagen in C:\Windows\appcompat\Programs die registreert welke programma's zijn uitgevoerd, inclusief hun volledige pad, tijdstempels en vaak een SHA-1 hash. Het wordt veel gebruikt in digitale forensiek.Hoe open ik een .hve-bestand?
Gebruik een registerviewer. Eric Zimmerman's Registry Explorer opent een offline
.hve-hive om te browsen, of u kunt deze koppelen in regedit via Bestand > Hive laden. Gebruik AmcacheParser of RegRipper voor geautomatiseerde analyse.Kan ik een .hve-bestand openen door erop te dubbelklikken?
Nee. Windows koppelt
.hve niet aan een viewer, en een hive is een binaire database in plaats van een document. U moet het laden in een registerviewer of forensische parser.Is het veilig om een .hve-bestand te verwijderen?
Niet als het systeem het gebruikt. Het verwijderen of verplaatsen van een actieve registerhive kan applicaties beschadigen of voorkomen dat Windows opstart. Een losse kopie die is achtergebleven na een forensische export kan veilig worden verwijderd.
Wat is het verschil tussen een .hve-bestand en een .dat-registerbestand?
Beide gebruiken hetzelfde regf-hive-formaat.
NTUSER.DAT en UsrClass.dat zijn hives per gebruiker met de .dat-extensie, terwijl .hve meestal wordt gebruikt voor Amcache.hve. De interne structuur is identiek.Waarom kan ik een .hve-bestand niet openen op een draaiend Windows-systeem?
Actieve hives zijn vergrendeld door het besturingssysteem. Werk aan een kopie die is gemaakt met een forensische tool, of gebruik de functie „Hive laden” van
regedit op een offline kopie.Referenties
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
