Varför konvertera HVE till CSV?
En .hve är en binär Windows-registerbikupa som är oläslig i Excel, så utredare exporterar nycklar, värden och tidsstämplar till .CSV för filtrering, sortering och rapportering. Konverteringen är egentligen en strukturerad extraktion: varje rad är en registerpost (sökväg, värdenamn, data, senaste skrivtid).
Hur man konverterar HVE till CSV
AmcacheParser
För en Amcache.hve, kör AmcacheParser.exe -f Amcache.hve --csv C:\out. Den skriver flera CSV-filer såsom Amcache_UnassociatedFileEntries.csv.
Registry Explorer FREE
Läs in bikupan, använd sedan Arkiv och Exportera (eller ett bokmärke/insticksmodul) för att spara den aktuella vyn eller nyckeluppsättningen som en .csv.
RegRipper
Kör en CSV-kompatibel insticksmodul, t.ex. rip.exe -r NTUSER.DAT -p <plugin>, och omdirigera utdata; flera insticksmoduler genererar kommaseparerade rader.
dump-registry-hive.py OPEN-SOURCE
Didier Stevens skript dumpar REG_SZ/REG_BINARY och andra värden till CSV som standard: python dump-registry-hive.py hive.hve > out.csv.
Om dessa format
En .hve-fil är en Windows Registry hive: en binär databas som lagrar registernycklar och värden i regf-formatet. Den du mest sannolikt stöter på är Amcache.hve, en forensisk artefakt som…
Öppna detaljer för .HVE →En CSV-fil lagrar tabelldata som vanlig text - en rad per linje, värden separerade med kommatecken (eller semikolon i europeiska regioner). Alla kalkylprogram kan öppna den: Excel, Google…
Öppna detaljer för .CSV →Kvalitet & vad man bör tänka på
- CSV fångar endast de nycklar, värden och tidsstämplar som ett verktyg eller insticksmodul extraherar, inte hela bikupans struktur eller säkerhetsbeskrivningar.
- Binära värden (
REG_BINARY) plattas ut till hex/text och förlorar sin ursprungliga typning i ett kalkylblad. - Olika verktyg producerar olika kolumner och flera filer, så resultaten är inte utbytbara.
Vanliga frågor
Vilket verktyg är bäst för Amcache.hve till CSV?
--csv.Kan jag öppna en .hve direkt i Excel?
.csv.Innehåller CSV-filen varje registernyckel?
Måste jag ha bikupan monterad i Windows?
.hve direkt utan att läsa in den i det aktiva registret.