Wat is het LOG1-bestandsformaat?
Een .log1-bestand is een write-ahead recovery log gegenereerd door Windows voor een register-hive. Deze logbestanden registreren de gewijzigde („dirty”) pagina's van de hive, zodat Windows deze opnieuw kan afspelen en een consistente status kan herstellen na een crash of onjuiste afsluiting. .log1 is een binair formaat.
Locatie van .log1-bestanden
.log1-bestanden worden standaard opgeslagen in de map %SystemRoot%\System32\config en hebben het kenmerk „verborgen”, dus om ze te bekijken moet een geschikte mapweergave-optie worden geactiveerd.
.log1 als onderdeel van een grotere set bestanden
.log1-bestanden behoren tot een grotere groep sidecar-bestanden die aan elke register-hive zijn gekoppeld. Het bijbehorende logboek is .log2; samen implementeren ze een duaal logschema waarbij Windows schrijfbewerkingen afwisselt tussen de twee. De primaire hive-gegevens bevinden zich in een .dat-bestand - bijvoorbeeld NTUSER.DAT voor de hive van de huidige gebruiker. Er is geen .log3-bestand in dit schema.
Gebruik van .log1-bestanden
.log1-bestanden worden bijgewerkt telkens wanneer dirty hive-pagina's moeten worden bewaard voordat ze naar de hoofdhive worden weggeschreven. Ze zijn essentieel voor herstel na stroomuitval of onverwachte afsluiting, en zijn ook nuttig bij het oplossen van systeemproblemen en het debuggen van programma's. Het duale .log1/.log2 afwisselingsschema is herzien in Windows 8.1; Windows beheert deze bestanden exclusief en ze mogen niet handmatig worden geopend of gewijzigd.
Beveiliging & veiligheid
RISICO: MEDIUMHet bestand zelf is passieve logdata en geen malware, maar het is een BESCHERMD systeembestand: normaal gesproken verborgen, in gebruik door Windows en eigendom van SYSTEM/TrustedInstaller. Verwijder, verplaats of bewerk .LOG1/.LOG2-bestanden NIET - ze maken deel uit van de manier waarop Windows het register crashbestendig houdt, en het verwijderen ervan kan het register beschadigen en voorkomen dat Windows schoon opstart. Negeer „cleaner”/„optimizer”-gidsen die u vertellen ze te verwijderen; het OS maakt ze opnieuw aan en hergebruikt ze indien nodig. (Een bestand met deze extensie op een onverwachte, voor de gebruiker beschrijfbare locatie kan iets anders zijn dat zich vermomt - maar in de registermappen is het precies wat het beweert te zijn.)
Formaatdetails
in een notendopProgramma's die LOG1-bestanden openen
Windows1 app
Windows (operating system) - no manual opener
Ingebouwd Er valt niets te openen. Windows leest/schrijft en speelt deze logboeken automatisch af bij het opstarten; laat de bestanden op hun plaats staan. Technische details
diepe specificaties| Bestandssignatuur (magic bytes) | regf (hex 72 65 67 66) op offset 0 - dezelfde base-block signatuur die wordt gebruikt door de hive die het bedient |
| Byte-volgorde | Little-endian |
| Codering | Binair - niet menselijk leesbaar; vereist register-bewuste forensische tools om te parsen |
| Typische bestandsgrootte | Een paar KB tot enkele MB, afhankelijk van hoeveel dirty hive-pagina's wachten op verwerking |
| Versleuteling | Geen - beschermd door Windows-bestandssysteem-ACL's, niet door versleuteling op gebruikersniveau |
| Standaardlocatie | %SystemRoot%\System32\config\ naast het hive-bestand dat het bedient |
| Duaal logschema | Wisselt af met .LOG2 - Windows schrijft dirty pagina's beurtelings naar .LOG1 en .LOG2, zodat één logboek altijd geldig is, zelfs als de andere schrijfbewerking wordt onderbroken |
| Bijbehorende hive-bestanden | Metgezel van SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat en andere register-hive-bestanden |
| Herstelmechanisme | Dirty-page replay - bij de volgende start na een onjuiste afsluiting leest Windows de gelogde HBIN-pagina's uit .LOG1 (of .LOG2) en schrijft ze terug in de hive |
| Bestandskenmerk | Verborgen systeembestand - niet zichtbaar in de standaard Verkenner of mapweergaven zonder de weergave van verborgen/systeembestanden in te schakelen |
| Integriteitsverificatie | Basisblok- en logvermeldingen bevatten volgnummers en checksums; afgebroken of verouderde schrijfbewerkingen worden gedetecteerd en overgeslagen tijdens herstel |
| Geschiedenis duaal loggen | Het .LOG1/.LOG2 afwisselingsschema is aanzienlijk herzien in Windows 8.1 (2013); eerdere Windows Vista/7 versies gebruikten een eerdere variant van het duale logboek |
| MIME-type | application/octet-stream |
| Interne structuur | regf-basisblok gevolgd door dirty HBIN (hive bin) paginarecords; intern formaat is niet gedocumenteerd voor eindgebruikers |
| Besturingssystemen | Windows Vista, Windows 7, Windows 8/8.1, Windows 10, Windows 11 |
| Uitgebracht | Windows registry hive logging; the .LOG1/.LOG2 dual-logging scheme dates to Windows Vista/7 and was reworked in Windows 8.1 (2013) |
| Laatste versie | Same hive log-format family (HBIN/dirty-page logging) in Windows 8.1/10/11; internal and undocumented for end users |
| Specificatie | learn.microsoft.com |
LOG1 conversies
Community V&A
gevraagd door gebruikersNog geen vragen - wees de eerste om iets te vragen over LOG1-bestanden.
