Что такое формат файла HVE?
Файл .hve представляет собой куст реестра Windows - бинарную базу данных, в которой хранятся ключи и значения реестра в формате Microsoft regf. Этот формат является частью Windows со времен Windows NT 3.1 (1993 год). Каждый куст начинается с базового блока размером 4096 байт, первые четыре байта которого содержат сигнатуру regf, за которыми следуют корзины куста (hive bins), содержащие сами ключи, значения и дескрипторы безопасности.
Большинство основных кустов Windows, таких как SYSTEM, SOFTWARE и NTUSER.DAT, используют этот же формат без расширения. Явное расширение .hve в основном встречается у файла Amcache.hve, расположенного в C:\Windows\appcompat\Programs. Он записывает, какие программы запускались, их пути, временные метки и часто SHA-1 хеш, что делает его ценным артефактом для криминалистического анализа.
Безопасность и защита
РИСК: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Детали формата
в двух словахПОЛНОЕ НАЗВАНИЕWindows Registry Hive Fileтакже известен как Registry hive, REGF hive
РАЗРАБОТЧИКMicrosoftс 1993 (Windows NT 3.1; regf format)
КАТЕГОРИЯСистемные файлы
MIME-ТИПapplication/octet-stream
ТИПBinary hierarchical database (registry hive)
Это расширение также используется в…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · СИГНАТУРА ФАЙЛА
СМЕЩЕНИЕ
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Программы, открывающие файлы HVE
Windows5 apps
Registry Explorer (Eric Zimmerman)
Бесплатно Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Бесплатно Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Открытый код Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Встроенная In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Бесплатно Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Открытый код Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Открытый код Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Открытый код Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Технические подробности
глубокая спецификация| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Выпущен | 1993 (Windows NT 3.1; regf format) |
| Последняя версия | Format version 1.5 (minor) |
| Спецификация | github.com |
Конвертации HVE
Возможно
.HVE .REGОнлайн-конвертер
Да - куст .hve можно экспортировать в текстовый файл .reg, который regedit может прочитать и объединить.
Как конвертировать
.HVE .CSVРУКОВОДСТВО
Да - куст реестра .hve можно проанализировать и экспортировать в удобный для таблиц формат .csv с помощью…
Как конвертировать
.HVE .TXTОнлайн-конвертер
Да - куст .hve можно представить в виде читаемого отчета .txt с помощью форензик-инструментов.
Как конвертировать
.HVE .JSONРУКОВОДСТВО
Да - куст .hve можно разобрать в структурированный .json с помощью библиотек для работы с реестром офлайн,…
Как конвертировать
Вопросы и ответы сообщества
спрошено пользователямиВопросов пока нет - станьте первым, кто спросит о файлах HVE.
Часто задаваемые вопросы
Что такое файл Amcache.hve?
Amcache.hve - самый распространенный файл
.hve. Это куст реестра Windows в папке C:\Windows\appcompat\Programs, который хранит историю запусков программ, включая полные пути, время запуска и хеши SHA-1. Он широко используется в цифровой криминалистике.Как открыть файл .hve?
Используйте просмотрщик реестра. Eric Zimmerman's Registry Explorer открывает автономные кусты
.hve для просмотра, также их можно подключить в regedit через «Файл» > «Загрузить куст». Для автоматического парсинга используйте AmcacheParser или RegRipper.Можно ли открыть файл .hve двойным щелчком?
Нет. Windows не связывает расширение
.hve с какой-либо программой просмотра, а сам куст является бинарной базой данных, а не документом. Его нужно загрузить в просмотрщик реестра или криминалистический парсер.Безопасно ли удалять файл .hve?
Нет, если система его использует. Удаление или перемещение активного куста реестра может привести к сбою приложений или невозможности загрузки Windows. Отдельную копию, созданную для анализа, можно удалять безопасно.
В чем разница между файлом .hve и файлом реестра .dat?
Оба используют один и тот же формат куста regf.
NTUSER.DAT и UsrClass.dat - это пользовательские кусты с расширением .dat, в то время как расширение .hve чаще всего присваивается Amcache.hve. Внутренняя структура идентична.Почему я не могу открыть файл .hve в работающей системе Windows?
Активные кусты заблокированы операционной системой. Работайте с копией, созданной криминалистическими инструментами, или используйте функцию «Загрузить куст» в
regedit для автономной копии.Ссылки
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
