Por que converter HVE para CSV?
Um .hve é uma hive binária do Registro do Windows, que é ilegível no Excel, então investigadores exportam as chaves, valores e carimbos de data/hora para .CSV para filtragem, ordenação e relatórios. A conversão é, na verdade, uma extração estruturada: cada linha é uma entrada do registro (caminho, nome do valor, dados, hora da última gravação).
Como converter HVE para CSV
AmcacheParser
Para um Amcache.hve, execute AmcacheParser.exe -f Amcache.hve --csv C:\out. Ele grava vários CSVs, como Amcache_UnassociatedFileEntries.csv.
Registry Explorer FREE
Carregue a hive, use Arquivo depois Exportar (ou um favorito/plugin) para salvar a visualização atual ou conjunto de chaves como um .csv.
RegRipper
Execute um plugin compatível com CSV, ex: rip.exe -r NTUSER.DAT -p <plugin>, e redirecione a saída; vários plugins emitem linhas separadas por vírgulas.
dump-registry-hive.py OPEN-SOURCE
O script de Didier Stevens extrai REG_SZ/REG_BINARY e outros valores para CSV por padrão: python dump-registry-hive.py hive.hve > out.csv.
Sobre estes formatos
Um arquivo .hve é uma hive do Registro do Windows: um banco de dados binário que armazena chaves e valores do registro no formato regf. O que você provavelmente encontrará é o Amcache.hve,…
Abrir detalhes de .HVE →Um arquivo CSV armazena dados tabulares como texto simples - uma linha por registro, valores separados por vírgulas (ou ponto e vírgula em localidades europeias). Qualquer planilha o abre:…
Abrir detalhes de .CSV →Qualidade e o que observar
- O CSV captura apenas as chaves, valores e carimbos de data/hora que uma ferramenta ou plugin extrai, não a estrutura inteira da hive ou descritores de segurança.
- Valores binários (
REG_BINARY) são convertidos para hex/texto e perdem sua tipagem nativa em uma planilha. - Ferramentas diferentes produzem colunas diferentes e múltiplos arquivos, portanto os resultados não são intercambiáveis.
Perguntas frequentes
Qual ferramenta é melhor para Amcache.hve para CSV?
--csv.Posso abrir um .hve diretamente no Excel?
.csv.O CSV inclui todas as chaves do registro?
Preciso da hive montada no Windows?
.hve offline diretamente sem carregá-lo no registro ativo.