Dlaczego konwertować HVE na CSV?
Plik .hve to binarna gałąź rejestru Windows, która jest nieczytelna w Excelu, dlatego śledczy eksportują klucze, wartości i znaczniki czasu do formatu .CSV w celu filtrowania, sortowania i raportowania. Konwersja jest w rzeczywistości ustrukturyzowaną ekstrakcją: każdy wiersz to wpis rejestru (ścieżka, nazwa wartości, dane, czas ostatniego zapisu).
Jak przekonwertować HVE na CSV
AmcacheParser
Dla pliku Amcache.hve uruchom AmcacheParser.exe -f Amcache.hve --csv C:\out. Narzędzie zapisze kilka plików CSV, takich jak Amcache_UnassociatedFileEntries.csv.
Registry Explorer FREE
Załaduj gałąź, a następnie użyj Plik > Eksportuj (lub zakładki/wtyczki), aby zapisać bieżący widok lub zestaw kluczy jako .csv.
RegRipper
Uruchom wtyczkę obsługującą CSV, np. rip.exe -r NTUSER.DAT -p <plugin>, i przekieruj wyjście; kilka wtyczek generuje wiersze oddzielone przecinkami.
dump-registry-hive.py OPEN-SOURCE
Skrypt Didiera Stevensa domyślnie zrzuca REG_SZ/REG_BINARY i inne wartości do CSV: python dump-registry-hive.py hive.hve > out.csv.
O tych formatach
Plik .hve to gałąź rejestru Windows: binarna baza danych przechowująca klucze i wartości rejestru w formacie regf. Najczęściej spotykanym plikiem tego typu jest Amcache.hve, artefakt…
Otwórz szczegóły .HVE →Plik CSV przechowuje dane tabelaryczne jako zwykły tekst - jeden wiersz na linię, wartości rozdzielone przecinkami (lub średnikami w regionach europejskich). Otwiera go każdy arkusz…
Otwórz szczegóły .CSV →Jakość i na co uważać
- CSV przechwytuje tylko klucze, wartości i znaczniki czasu wyodrębnione przez narzędzie, a nie całą strukturę gałęzi czy deskryptory bezpieczeństwa.
- Wartości binarne (
REG_BINARY) są spłaszczane do formatu szesnastkowego/tekstowego i tracą swoje natywne typowanie w arkuszu kalkulacyjnym. - Różne narzędzia tworzą różne kolumny i wiele plików, więc wyniki nie są zamienne.
Najczęściej zadawane pytania
Które narzędzie jest najlepsze do konwersji Amcache.hve na CSV?
--csv.Czy mogę otworzyć .hve bezpośrednio w Excelu?
.csv.Czy CSV zawiera każdy klucz rejestru?
Czy muszę mieć gałąź zamontowaną w systemie Windows?
.hve w trybie offline bezpośrednio, bez ładowania go do aktywnego rejestru.