Co to jest format pliku HVE?
Plik .hve to gałąź rejestru Windows (Registry hive), binarna baza danych przechowująca klucze i wartości rejestru w formacie regf firmy Microsoft. Format ten jest częścią systemu Windows od czasu Windows NT 3.1 w 1993 roku. Każda gałąź zaczyna się od bloku bazowego o rozmiarze 4096 bajtów, którego pierwsze cztery bajty to regf, a następnie znajdują się kosze gałęzi (hive bins), które przechowują właściwe klucze, wartości i deskryptory bezpieczeństwa.
Większość rdzennych gałęzi systemu Windows, takich jak SYSTEM, SOFTWARE i NTUSER.DAT, używa tego samego formatu bez żadnego rozszerzenia. Jawne rozszerzenie .hve pojawia się głównie w pliku Amcache.hve, znajdującym się w C:\Windows\appcompat\Programs, który rejestruje, jakie programy zostały uruchomione, wraz z ich ścieżkami, znacznikami czasu i często skrótem SHA-1. To sprawia, że jest to ulubiony artefakt analityków śledczych.
Bezpieczeństwo
RYZYKO: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Szczegóły formatu
w pigułcePEŁNA NAZWAWindows Registry Hive Fileznany również jako Registry hive, REGF hive
DEWELOPERMicrosoftod 1993 (Windows NT 3.1; regf format)
KATEGORIAPliki systemowe
TYP MIMEapplication/octet-stream
TYPBinary hierarchical database (registry hive)
To rozszerzenie jest również używane przez…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGICZNE BAJTY · SYGNATURA PLIKU
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programy otwierające pliki HVE
Windows5 apps
Registry Explorer (Eric Zimmerman)
Darmowy Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Darmowy Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Open-source Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Wbudowany In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Darmowy Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Open-source Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Open-source Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Open-source Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Szczegóły techniczne
specyfikacja| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Wydano | 1993 (Windows NT 3.1; regf format) |
| Najnowsza wersja | Format version 1.5 (minor) |
| Specyfikacja | github.com |
Konwersje HVE
Możliwa
.HVE .REGKonwerter online
Tak - gałąź .hve może zostać wyeksportowana do tekstowego pliku .reg, który program regedit potrafi odczytać…
Jak konwertować
.HVE .CSVPRZEWODNIK
Tak - gałąź rejestru .hve może zostać przeanalizowana i wyeksportowana do przyjaznego dla arkuszy…
Jak konwertować
.HVE .TXTKonwerter online
Tak - gałąź .hve może zostać przedstawiona jako czytelny raport .txt za pomocą narzędzi informatyki śledczej.
Jak konwertować
.HVE .JSONPRZEWODNIK
Tak - gałąź rejestru .hve może zostać przetworzona na strukturalny format .json przy użyciu bibliotek…
Jak konwertować
Pytania i odpowiedzi społeczności
pytania użytkownikówBrak pytań - bądź pierwszą osobą, która zapyta o pliki HVE.
Najczęściej zadawane pytania
Co to jest plik Amcache.hve?
Amcache.hve to najpopularniejszy plik
.hve. Jest to gałąź rejestru Windows przechowywana w C:\Windows\appcompat\Programs, która rejestruje uruchomione programy, w tym ich pełną ścieżkę, znaczniki czasu i często skrót SHA-1. Jest szeroko wykorzystywany w informatyce śledczej.Jak otworzyć plik .hve?
Użyj przeglądarki rejestru. Registry Explorer Erica Zimmermana otwiera gałąź
.hve offline do przeglądania, lub możesz ją zamontować w regedit za pomocą opcji Plik > Załaduj gałąź rejestru. Do automatycznej analizy użyj AmcacheParser lub RegRipper.Czy mogę otworzyć plik .hve dwukrotnym kliknięciem?
Nie. System Windows nie kojarzy rozszerzenia
.hve z żadną przeglądarką, a gałąź jest binarną bazą danych, a nie dokumentem. Musisz załadować ją do przeglądarki rejestru lub parsera śledczego.Czy usunięcie pliku .hve jest bezpieczne?
Nie, jeśli system go używa. Usunięcie lub przeniesienie aktywnej gałęzi rejestru może uszkodzić aplikacje lub uniemożliwić rozruch systemu Windows. Zbędną kopię pozostałą po eksporcie śledczym można bezpiecznie usunąć.
Jaka jest różnica między plikiem .hve a plikiem rejestru .dat?
Oba używają tego samego formatu gałęzi regf.
NTUSER.DAT i UsrClass.dat to gałęzie poszczególnych użytkowników z rozszerzeniem .dat, podczas gdy .hve najczęściej oznacza Amcache.hve. Struktura wewnętrzna jest identyczna.Dlaczego nie mogę otworzyć pliku .hve w działającym systemie Windows?
Aktywne gałęzie są zablokowane przez system operacyjny. Należy pracować na kopii pobranej za pomocą narzędzia śledczego lub użyć funkcji „Załaduj gałąź rejestru” w
regedit na kopii offline.Źródła
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
