O que é o formato de ficheiro HVE?
Um arquivo .hve é uma hive do Registro do Windows, um banco de dados binário que armazena chaves e valores de registro no formato regf da Microsoft. Esse formato faz parte do Windows desde o Windows NT 3.1 em 1993. Cada hive abre com um bloco base de 4096 bytes cujos primeiros quatro bytes leem regf, seguidos por compartimentos de hive (hive bins) que contêm as chaves, valores e descritores de segurança reais.
A maioria das hives principais do Windows, como SYSTEM, SOFTWARE e NTUSER.DAT, usa este mesmo formato sem qualquer extensão. A extensão explícita .hve aparece principalmente no Amcache.hve, um arquivo em C:\Windows\appcompat\Programs que registra quais programas foram executados, junto com seus caminhos, carimbos de data/hora e, frequentemente, um hash SHA-1. Isso o torna um artefato favorito para analistas forenses.
Segurança e proteção
RISCO: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Detalhes do formato
em resumoNOME COMPLETOWindows Registry Hive Filetambém conhecido como Registry hive, REGF hive
DESENVOLVEDORMicrosoftdesde 1993 (Windows NT 3.1; regf format)
CATEGORIAArquivos de Sistema
TIPO MIMEapplication/octet-stream
TIPOBinary hierarchical database (registry hive)
Esta extensão também é usada por…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · ASSINATURA DO ARQUIVO
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Programas que abrem arquivos HVE
Windows5 apps
Registry Explorer (Eric Zimmerman)
Gratuito Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Gratuito Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Código aberto Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Integrado In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Gratuito Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Código aberto Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Código aberto Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Código aberto Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Detalhes técnicos
especificação profunda| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Lançado | 1993 (Windows NT 3.1; regf format) |
| Versão mais recente | Format version 1.5 (minor) |
| Especificação | github.com |
Conversões de HVE
Possível
.HVE .REGConversor online
Sim - uma hive .hve pode ser exportada para um arquivo de texto .reg que o regedit pode ler e mesclar.
Como converter
.HVE .CSVGUIA
Sim - uma hive de registro .hve pode ser analisada e exportada para um .csv amigável para planilhas com…
Como converter
.HVE .TXTConversor online
Sim - uma hive .hve pode ser renderizada como um relatório .txt legível com ferramentas forenses de registro.
Como converter
.HVE .JSONGUIA
Sim - uma colmeia .hve pode ser analisada em um .json estruturado usando bibliotecas de registro offline como…
Como converter
Perguntas e Respostas da Comunidade
perguntado por usuáriosAinda não há perguntas - seja o primeiro a perguntar sobre arquivos HVE.
Perguntas frequentes
O que é um arquivo Amcache.hve?
Amcache.hve é o arquivo
.hve mais comum. É uma hive do Registro do Windows armazenada em C:\Windows\appcompat\Programs que registra quais programas foram executados, incluindo seu caminho completo, carimbos de data/hora e, muitas vezes, um hash SHA-1. É amplamente utilizado em computação forense digital.Como faço para abrir um arquivo .hve?
Use um visualizador de registro. O Eric Zimmerman's Registry Explorer abre uma hive
.hve offline para navegação, ou você pode montá-la no regedit com Arquivo > Carregar Hive. Para análise automatizada, use AmcacheParser ou RegRipper.Posso abrir um arquivo .hve clicando duas vezes nele?
Não. O Windows não associa o
.hve a um visualizador, e uma hive é um banco de dados binário em vez de um documento. Você deve carregá-lo em um visualizador de registro ou analisador forense.É seguro excluir um arquivo .hve?
Não se o sistema o estiver usando. Excluir ou mover uma hive de registro ativa pode quebrar aplicativos ou impedir a inicialização do Windows. Uma cópia avulsa deixada por uma exportação forense pode ser removida com segurança.
Qual é a diferença entre um arquivo .hve e um arquivo de registro .dat?
Ambos usam o mesmo formato de hive regf.
NTUSER.DAT e UsrClass.dat são hives por usuário com a extensão .dat, enquanto .hve rotula mais frequentemente o Amcache.hve. A estrutura interna é idêntica.Por que não consigo abrir um arquivo .hve em um sistema Windows em execução?
As hives ativas são bloqueadas pelo sistema operacional. Trabalhe em uma cópia capturada com uma ferramenta forense ou use o comando Carregar Hive do
regedit em uma cópia offline.Referências
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
