Varför konvertera HVE till JSON?
En .hve är en binär register-hive, och genom att exportera den till .JSON får man en nästlad, maskinläsbar struktur som skript, SIEM-system och DFIR-pipelines kan läsa in. Varje nyckel blir ett objekt med sina undernycklar, värdenamn, data och tidsstämplar.
Hur man konverterar HVE till JSON
regipy OPEN-SOURCE
Installera med pip install regipy[full], kör sedan regipy-dump hive.hve -o out.json för att dumpa hela hiven till JSON.
python-registry
Använd biblioteket för att öppna hiven med Registry.Registry("hive.hve"), gå rekursivt genom nycklarna och serialisera varje post med Pythons json-modul.
regipy (biblioteksläge)
I Python, iterera över RegistryHive("hive.hve").recurse_subkeys(as_json=True) och skriv objekten till en .json-fil för anpassad utdata.
Om dessa format
En .hve-fil är en Windows Registry hive: en binär databas som lagrar registernycklar och värden i regf-formatet. Den du mest sannolikt stöter på är Amcache.hve, en forensisk artefakt som…
Öppna detaljer för .HVE →
.JSON
JavaScript Object Notation file
En JSON-fil är en datafil i klartext i formatet JavaScript Object Notation, som används av webb-API:er, appkonfigurationer och dataexporter. Vilken textredigerare som helst kan öppna den -…
Öppna detaljer för .JSON →Kvalitet & vad man bör tänka på
- Binära värden (
REG_BINARY) och vissa kodade värden lagras som hex- eller base64-strängar, inte som infödda typer. - En dump av en hel hive kan bli mycket stor, eftersom varje nyckel, värde och tidsstämpel serialiseras.
- Transaktionsloggar (
.LOG1/.LOG2) tillämpas inte om du inte spelar upp dem först, så nyligen gjorda ändringar kan saknas.
Vanliga frågor
Vilket kommando dumpar en hive till JSON?
regipy-dump hive.hve -o out.json parsar offline-hiven och skriver hela trädet som JSON.Är JSON bättre än CSV för en register-hive?
Fungerar dessa verktyg utan Windows?
.hve-filen direkt och är operativsystemoberoende.
