Vad är filformatet HVE?
En .hve-fil är en Windows Registry hive, en binär databas som lagrar registernycklar och värden i Microsofts regf-format. Det formatet har varit en del av Windows sedan Windows NT 3.1 år 1993. Varje hive börjar med ett 4096-byte basblock vars första fyra bytes läser regf, följt av hive-bins som innehåller de faktiska nycklarna, värdena och säkerhetsbeskrivningarna.
De flesta centrala Windows-hives, såsom SYSTEM, SOFTWARE och NTUSER.DAT, använder samma format utan någon filändelse. Den explicita filändelsen .hve dyker främst upp på Amcache.hve, en fil i C:\Windows\appcompat\Programs som registrerar vilka program som har körts, tillsammans med deras sökvägar, tidsstämplar och ofta en SHA-1-hash. Det gör den till en favorit-artefakt för forensiska analytiker.
Säkerhet & trygghet
RISK: MEDIUMA .hve file itself is passive data, not an executable, so opening it in a read-only viewer is safe. The risk is operational: deleting, moving or editing an in-use registry hive can stop applications or Windows from booting. Amcache.hve is also a privacy-sensitive forensic artifact because it records program execution history. Only handle live system hives with care, and prefer read-only tools on evidence copies.
Formatdetaljer
i ett nötskalFULLSTÄNDIGT NAMNWindows Registry Hive Fileäven känd som Registry hive, REGF hive
UTVECKLAREMicrosoftsedan 1993 (Windows NT 3.1; regf format)
KATEGORISystemfiler
MIME-TYPapplication/octet-stream
TYPBinary hierarchical database (registry hive)
Detta filtillägg används också av…
- Half-Life / GoldSrc HVE - Some game modding contexts reference .hve as a Half-Life engine data file, but this is rare and unrelated to registry hives.
- Generic hive backup files - Some backup and imaging tools save exported registry hives with a .hve extension regardless of original name.
MAGIC BYTES · FILSIGNATUR
OFFSET
00010203
HEX
72656766
ASCII
regf
The 4096-byte base block begins with the ASCII signature 'regf' (0x72656766) at offset 0. Same signature as SYSTEM, SOFTWARE, NTUSER.DAT and other registry hives.
Program som öppnar HVE-filer
Windows5 apps
Registry Explorer (Eric Zimmerman)
Gratis Open the offline .hve hive with File > Live System or Load Hive, then browse keys and values, run plugins, and export findings.
AmcacheParser (Eric Zimmerman)
Gratis Run AmcacheParser.exe -f Amcache.hve --csv . to parse execution records into CSV for analysis.
RegRipper
Öppen källkod Run rip.exe -r Amcache.hve -p amcache (or the amcache_tln plugin) to extract structured data during triage.
Windows Registry Editor (regedit)
Inbyggd In regedit, select HKEY_LOCAL_MACHINE, then File > Load Hive to mount a .hve under a temporary key for inspection.
Registry Viewer (AccessData / Exterro)
Gratis Open the hive read-only to browse keys, values and generate reports without altering the evidence. 
macOS1 app
hivex
Öppen källkod Install via Homebrew and run hivexsh Amcache.hve to inspect the hive tree from Terminal. 
Linux2 apps
hivex
Öppen källkod Run hivexsh Amcache.hve or hivexregedit --export Amcache.hve '\\' to read hive contents from the shell.
python-registry
Öppen källkod Use the regview.py script or the library to enumerate keys and values from a .hve hive in scripts. Tekniska detaljer
djup specifikation| Encoding | Binary regf (Windows NT Registry File) format |
| Byte order | Little-endian |
| Container | Base block (4096 bytes) followed by hive bins (hbin blocks, each a multiple of 4096 bytes) |
| Encryption | None (hive data stored in cleartext) |
| Typical size | A few hundred KB to several MB; Amcache.hve is commonly 1-15 MB |
| Structure | A 4 KB base block holds the 'regf' signature, primary/secondary sequence numbers, last-written FILETIME, format version, root cell offset, hive bins data size and a XOR-32 checksum. Data lives in hive bins ('hbin' blocks), each carrying cells that encode keys (nk), values (vk), subkey lists, and security descriptors (sk). |
| Integrity | XOR-32 checksum over the first 508 bytes of the base block; dual sequence numbers detect interrupted writes and trigger recovery from the transaction log |
| Platforms | Windows NT, Windows 2000, Windows XP, Windows Vista, Windows 7, Windows 8, Windows 10, Windows 11 |
| Notes | The most widely encountered .hve file is Amcache.hve in C:\Windows\appcompat\Programs, a forensic artifact recording recently executed programs and connected devices. Most core Windows hives (SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT) share the identical regf format but carry no extension. Hives use companion .LOG transaction logs for crash recovery. |
| Släppt | 1993 (Windows NT 3.1; regf format) |
| Senaste version | Format version 1.5 (minor) |
| Specifikation | github.com |
HVE-konverteringar
Möjligt
.HVE .REGOnline-konverterare
Ja - en .hve-bikupa kan exporteras till en textbaserad .reg-fil som regedit kan läsa och sammanfoga.
Hur man konverterar
.HVE .CSVGUIDE
Ja - en .hve-registerbikupa kan tolkas och exporteras till kalkylbladsvänlig .csv med forensiska…
Hur man konverterar
.HVE .TXTOnline-konverterare
Ja - en .hve-bikupa kan renderas som en läsbar .txt-rapport med forensiska registerverktyg.
Hur man konverterar
.HVE .JSONGUIDE
Ja - en .hve-hive kan parsas till strukturerad .json med hjälp av offline-registerbibliotek som regipy eller…
Hur man konverterar
Frågor & svar
frågat av användareInga frågor än - bli den första att fråga om HVE-filer.
Vanliga frågor
Vad är en Amcache.hve-fil?
Amcache.hve är den vanligaste
.hve-filen. Det är en Windows Registry hive lagrad i C:\Windows\appcompat\Programs som registrerar vilka program som har körts, inklusive deras fullständiga sökväg, tidsstämplar och ofta en SHA-1-hash. Den används flitigt inom digital forensik.Hur öppnar jag en .hve-fil?
Använd en registervisare. Eric Zimmermans Registry Explorer öppnar en offline
.hve-hive för bläddring, eller så kan du montera den i regedit med Arkiv > Läs in registreringsfil. För automatiserad parsning, använd AmcacheParser eller RegRipper.Kan jag öppna en .hve-fil genom att dubbelklicka på den?
Nej. Windows associerar inte
.hve med något visningsprogram, och en hive är en binär databas snarare än ett dokument. Du måste ladda den i en registervisare eller forensisk parser.Är det säkert att radera en .hve-fil?
Inte om systemet använder den. Att radera eller flytta en aktiv register-hive kan skada applikationer eller förhindra Windows från att starta. En överbliven kopia från en forensisk export kan tas bort säkert.
Vad är skillnaden mellan en .hve-fil och en .dat-registerfil?
Båda använder samma regf-hive-format.
NTUSER.DAT och UsrClass.dat är användarspecifika hives med filändelsen .dat, medan .hve oftast betecknar Amcache.hve. Den interna strukturen är identisk.Varför kan jag inte öppna en .hve-fil på ett körande Windows-system?
Aktiva hives är låsta av operativsystemet. Arbeta på en kopia som tagits med ett forensiskt verktyg, eller använd
regedit:s «Läs in registreringsfil» på en offline-kopia.Referenser
1msuhanov/regf - Windows registry file format specificationgithub.com
2Google Project Zero - The Windows Registry Adventure #5: The regf file formatprojectzero.google
