Hva er HVE-filformatet?
En .hve-fil er en Windows Registry-kube, en binær database som lagrer registernøkler og verdier i Microsofts regf-format. Dette formatet har vært en del av Windows siden Windows NT 3.1 i 1993. Hver kube åpnes med en 4096-byte baseblokk der de første fire bytene leser regf, etterfulgt av «hive bins» som inneholder de faktiske nøklene, verdiene og sikkerhetsbeskrivelsene.
De fleste kjerne-kuber i Windows, som SYSTEM, SOFTWARE og NTUSER.DAT, bruker dette samme formatet uten noen filendelse. Den eksplisitte filendelsen .hve dukker hovedsakelig opp på Amcache.hve, en fil i C:\Windows\appcompat\Programs som registrerer hvilke programmer som har kjørt, sammen med deres stier, tidsstempler og ofte en SHA-1-hash. Dette gjør den til et favoritt-artefakt for rettsmedisinske analytikere.
Sikkerhet og trygghet
RISIKO: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Formatdetaljer
i et nøtteskallFULLT NAVNWindows Registry Hive Fileogså kjent som Registry hive, REGF hive
UTVIKLERMicrosoftsiden 1993 (Windows NT 3.1; regf format)
KATEGORISystemfiler
MIME-TYPEapplication/octet-stream
TYPEBinary hierarchical database (registry hive)
Denne filendelsen brukes også av…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · FILSIGNATUR
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programmer som åpner HVE-filer
Windows5 apps
Registry Explorer (Eric Zimmerman)
Gratis Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Gratis Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Åpen kildekode Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Innebygd In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Gratis Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Åpen kildekode Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Åpen kildekode Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Åpen kildekode Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Tekniske detaljer
dyp spesifikasjon| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Utgitt | 1993 (Windows NT 3.1; regf format) |
| Siste versjon | Format version 1.5 (minor) |
| Spesifikasjon | github.com |
HVE-konverteringer
Mulig
.HVE .REGOnline-konverterer
Ja - en .hve-hive kan eksporteres til en tekstbasert .reg-fil som regedit kan lese og flette.
Hvordan konvertere
.HVE .CSVGUIDE
Ja - en .hve register-hive kan analyseres og eksporteres til regnearkvennlig .csv med rettsmedisinske…
Hvordan konvertere
.HVE .TXTOnline-konverterer
Ja - en .hve-hive kan gjengis som en lesbar .txt-rapport med rettsmedisinske registerverktøy.
Hvordan konvertere
.HVE .JSONGUIDE
Ja - en .hve-hive kan analyseres til strukturert .json ved hjelp av offline registerbiblioteker som regipy…
Hvordan konvertere
Spørsmål og svar fra fellesskapet
spurt av brukereIngen spørsmål ennå - vær den første til å spørre om HVE-filer.
Ofte stilte spørsmål
Hva er en Amcache.hve-fil?
Amcache.hve er den vanligste
.hve-filen. Det er en Windows Registry-kube lagret i C:\Windows\appcompat\Programs som registrerer hvilke programmer som har kjørt, inkludert deres fullstendige sti, tidsstempler og ofte en SHA-1-hash. Den er mye brukt i digital etterforskning.Hvordan åpner jeg en .hve-fil?
Bruk en registerviser. Eric Zimmermans Registry Explorer åpner en offline
.hve-kube for gjennomsyn, eller du kan montere den i regedit med Fil > Last inn kube. For automatisert analyse, bruk AmcacheParser eller RegRipper.Kan jeg åpne en .hve-fil ved å dobbeltklikke på den?
Nei. Windows assosierer ikke
.hve med et visningsprogram, og en kube er en binær database snarere enn et dokument. Du må laste den inn i en registerviser eller et rettsmedisinsk analyseverktøy.Er det trygt å slette en .hve-fil?
Ikke hvis systemet bruker den. Sletting eller flytting av en aktiv registerkube kan ødelegge applikasjoner eller hindre Windows i å starte. En løs kopi etterlatt av en rettsmedisinsk eksport kan fjernes trygt.
Hva er forskjellen mellom en .hve-fil og en .dat-registerfil?
Begge bruker det samme regf-kubeformatet.
NTUSER.DAT og UsrClass.dat er brukerspesifikke kuber med filendelsen .dat, mens .hve oftest betegner Amcache.hve. Den interne strukturen er identisk.Hvorfor kan jeg ikke åpne en .hve-fil på et kjørende Windows-system?
Aktive kuber er låst av operativsystemet. Arbeid på en kopi hentet ut med et rettsmedisinsk verktøy, eller bruk
regedit sin «Last inn kube»-funksjon på en offline-kopi.Referanser
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
