Hvorfor konvertere HVE til JSON?
En .hve er en binær registerhive, og eksport av denne til .JSON gir en nøstet, maskinlesbar struktur som skript, SIEM-er og DFIR-arbeidsflyter kan lese. Hver nøkkel blir et objekt med sine undernøkler, verdinavn, data og tidsstempler.
Hvordan konvertere HVE til JSON
regipy OPEN-SOURCE
Installer med pip install regipy[full], og kjør deretter regipy-dump hive.hve -o out.json for å dumpe hele hiven til JSON.
python-registry
Bruk biblioteket til å åpne hiven med Registry.Registry("hive.hve"), gå rekursivt gjennom nøklene og serialiser hver oppføring med Pythons json-modul.
regipy (biblioteksmodus)
I Python, iterer over RegistryHive("hive.hve").recurse_subkeys(as_json=True) og skriv objektene til en .json-fil for tilpasset utdata.
Om disse formatene
En .hve-fil er en Windows Registry-kube (hive): en binær database som lagrer registernøkler og verdier i regf-formatet. Den du mest sannsynlig vil støte på er Amcache.hve, et rettsmedisinsk…
Åpne .HVE-detaljer →
.JSON
JavaScript Object Notation file
En JSON-fil er en datafil i rent tekstformat basert på JavaScript Object Notation, brukt av web-API-er, app-konfigurasjoner og dataeksport. Alle tekstredigeringsprogrammer kan åpne den -…
Åpne .JSON-detaljer →Kvalitet og hva du bør passe på
- Binære verdier (
REG_BINARY) og enkelte kodede verdier lagres som hex- eller base64-strenger, ikke som innfødte typer. - En dump av en hel hive kan bli svært stor, siden hver nøkkel, verdi og tidsstempel blir serialisert.
- Transaksjonslogger (
.LOG1/.LOG2) blir ikke brukt med mindre du spiller dem av først, så nylige endringer kan mangle.
Ofte stilte spørsmål
Hvilken kommando dumper en hive til JSON?
regipy-dump hive.hve -o out.json analyserer offline-hiven og skriver hele treet som JSON.Er JSON bedre enn CSV for en registerhive?
Fungerer disse verktøyene uten Windows?
.hve-filen direkte og er uavhengige av operativsystem.
