regipy

⚠️ Mudanças Importantes na v6.0.0

A versão 6.0.0 inclui mudanças significativas de modernização:

Python 3.9+ obrigatório - Suporte removido para Python 3.6, 3.7 e 3.8

Biblioteca attrs removida - As classes de dados agora usam o módulo dataclasses nativo do Python

Se seu código importa classes internas (Cell, VKRecord, Value, Subkey) e usa funções do attrs como attr.asdict(), mude para dataclasses.asdict()

Veja o CHANGELOG para detalhes completos.

Regipy é uma biblioteca Python para analisar hives de registro offline (arquivos Hive com cabeçalho REGF). regipy possui muitas capacidades:

Uso como biblioteca:
- Percorrer recursivamente a hive de registro, a partir da raiz ou de um caminho especificado e obter todas as subchaves e valores
- Ler subchaves e valores específicos
- Aplicar logs de transação em uma hive de registro
Ferramentas de Linha de Comando
- Despejar uma hive de registro inteira em JSON
- Aplicar logs de transação em uma hive de registro
- Comparar hives de registro
- Executar plugins de um sistema robusto de plugins (ex: amcache, shimcache, extrair nome do computador...)

Requer Python 3.9 ou superior.

Instalação

A versão mais recente do Regipy pode ser instalada a partir do pypi:

pip install regipy[full]

NOTA: regipy[full] instala dependências que exigem ferramentas de compilação e pode levar algum tempo. É possível instalar uma versão com dependências relaxadas, omitindo o [full].

Também é possível instalar a partir do código fonte clonando o repositório e executando:

pip install --editable .[full]

Backend acelerado por Rust (alfa)

Uma implementação opcional em Rust do parser REGF principal está disponível como um backend opcional, publicado separadamente no PyPI como regipy-rs:

pip install regipy[rust]

from regipy.registry_rs import RegistryHive  # instead of regipy.registry

reg = RegistryHive('/tmp/NTUSER.dat')
# Same API: get_key, iter_values, recurse_subkeys, plugins — everything
# works unchanged, including all regipy plugins.

É uma substituição direta validada 1:1 contra o parser puro-Python em todo o corpus de hives de teste — cada caminho de chave, timestamp, valor e saída de plugin, notarizada por hashes de travessia SHA-256 correspondentes (veja regipy_tests/comparison_test.py e a seção Forensic parity evidence do regipy-rs/BENCHMARKS.md).

Travessia completa com valores (recurse_subkeys), melhor de 3 execuções:

cProfile mostra o motivo: no backend Python, o tempo de travessia é dominado pela análise de struct construct por registro e decodificação de valores; com o backend Rust, o parser desaparece completamente do perfil e o único custo Python restante é a construção das classes de dados Subkey retornadas. Os perfis completos, resumos por hive e uma nota de isenção documentando as poucas divergências intencionais (tipos de exceção em hives corrompidos, comportamento de proteção contra ciclos) estão em regipy-rs/BENCHMARKS.md; python regipy-rs/benchmark.py regenera o relatório completo.

O parser puro-Python permanece o padrão e não é afetado quando o backend Rust não está instalado.

CLI

Analisar o cabeçalho:

regipy-parse-header ~/Documents/TestEvidence/Registry/SYSTEM

Exemplo de saída:

╒════════════════════════╤══════════╕
│ signature              │ b'regf'  │
├────────────────────────┼──────────┤
│ primary_sequence_num   │ 11639    │
├────────────────────────┼──────────┤
│ secondary_sequence_num │ 11638    │
├────────────────────────┼──────────┤
│ last_modification_time │ 0        │
├────────────────────────┼──────────┤
│ major_version          │ 1        │
├────────────────────────┼──────────┤
│ minor_version          │ 5        │
├────────────────────────┼──────────┤
│ file_type              │ 0        │
├────────────────────────┼──────────┤
│ file_format            │ 1        │
├────────────────────────┼──────────┤
│ root_key_offset        │ 32       │
├────────────────────────┼──────────┤
│ hive_bins_data_size    │ 10534912 │
├────────────────────────┼──────────┤
│ clustering_factor      │ 1        │
├────────────────────────┼──────────┤
│ file_name              │ SYSTEM   │
├────────────────────────┼──────────┤
│ checksum               │ 0        │
╘════════════════════════╧══════════╛
[2019-02-09 13:46:12.111654] WARNING: regipy.cli: Hive is not clean! You should apply transaction logs

Ao analisar o cabeçalho de uma hive, também são feitas validação de checksum e validações de transação

Despejar hive inteira para o disco (isso pode levar algum tempo)

regipy-dump ~/Documents/TestEvidence/Registry/NTUSER-CCLEANER.DAT -o /tmp/output.json

O utilitário regipy-dump também pode gerar uma linha do tempo em vez de JSON, adicionando a flag -t

Executar plugins relevantes em uma Hive

regipy-plugins-run ~/Documents/TestEvidence/Registry/SYSTEM -o /tmp/plugins_output.json

O tipo da hive será detectado automaticamente e os plugins relevantes serão executados. Veja a seção de plugins para mais informações

Comparar hives de registro

Compara hives de registro do mesmo tipo e gera saída em CSV (se -o não for especificado, a saída será exibida na tela)

regipy-diff NTUSER.dat NTUSER_modified.dat -o /tmp/diff.csv

Exemplo de saída:

[2019-02-11 19:49:18.824245] INFO: regipy.cli: Comparing NTUSER.DAT vs NTUSER_modified.DAT
╒══════════════╤══════════════╤════════════════════════════════════════════════════════════════════════════════╤════════════════════════════════════════════════╕
│ difference   │ first_hive   │ second_hive                                                                    │ description                                    │
╞══════════════╪══════════════╪════════════════════════════════════════════════════════════════════════════════╪════════════════════════════════════════════════╡
│ new_subkey   │              │ 2019-02-11T19:46:31.832134+00:00                                               │ \Software\Microsoft\legitimate_subkey          │
├──────────────┼──────────────┼────────────────────────────────────────────────────────────────────────────────┼────────────────────────────────────────────────┤
│ new_value    │              │ not_a_malware: c:\temp\legitimate_binary.exe @ 2019-02-11 19:45:25.516346+00:00 │ \Software\Microsoft\Windows\CurrentVersion\Run │
╘══════════════╧══════════════╧════════════════════════════════════════════════════════════════════════════════╧════════════════════════════════════════════════╛
[2019-02-11 19:49:18.825328] INFO: regipy.cli: Detected 2 differences

Recuperar uma hive de registro usando logs de transação:

regipy-process-transaction-logs NTUSER.DAT -p ntuser.dat.log1 -s ntuser.dat.log2 -o recovered_NTUSER.dat

Após a recuperação, compare as hives com registry-diff para ver o que mudou

Usando como biblioteca

Inicializar o objeto da hive de registro

from regipy.registry import RegistryHive
reg = RegistryHive('/Users/martinkorman/Documents/TestEvidence/Registry/Vibranium-NTUSER.DAT')

Iterar recursivamente sobre toda a hive, a partir da chave raiz

for entry in reg.recurse_subkeys(as_json=True):
    print(entry)

Iterar sobre uma chave e obter todas as subchaves e seu tempo de modificação:

for sk in reg.get_key('Software').iter_subkeys():
    print(sk.name, convert_wintime(sk.header.last_modified).isoformat())

Adobe 2019-02-03T22:05:32.525965
AppDataLow 2019-02-03T22:05:32.526047
McAfee 2019-02-03T22:05:32.526140
Microsoft 2019-02-03T22:05:32.526282
Netscape 2019-02-03T22:05:32.526352
ODBC 2019-02-03T22:05:32.526521
Policies 2019-02-03T22:05:32.526592

Obter os valores de uma chave:

reg.get_key('Software\Microsoft\Internet Explorer\BrowserEmulation').get_values(as_json=True)
[{'name': 'CVListTTL',
  'value': 0,
  'value_type': 'REG_DWORD',
  'is_corrupted': False},
 {'name': 'UnattendLoaded',
  'value': 0,
  'value_type': 'REG_DWORD',
  'is_corrupted': False},
 {'name': 'TLDUpdates',
  'value': 0,
  'value_type': 'REG_DWORD',
  'is_corrupted': False},
 {'name': 'CVListXMLVersionLow',
  'value': 2097211,
  'value_type': 'REG_DWORD',
  'is_corrupted': False},
 {'name': 'CVListXMLVersionHigh',
  'value': None,
  'value_type': 'REG_DWORD',
  'is_corrupted': False},
 {'name': 'CVListLastUpdateTime',
  'value': None,
  'value_type': 'REG_DWORD',
  'is_corrupted': False},
 {'name': 'IECompatVersionHigh',
  'value': None,
  'value_type': 'REG_DWORD',
  'is_corrupted': False},
 {'name': 'IECompatVersionLow',
  'value': 2097211,
  'value_type': 'REG_DWORD',
  'is_corrupted': False},
 {'name': 'StaleCompatCache',
  'value': 0,
  'value_type': 'REG_DWORD',
  'is_corrupted': False}]

Usar como plugin:

from regipy.plugins.ntuser.ntuser_persistence import NTUserPersistencePlugin
NTUserPersistencePlugin(reg, as_json=True).run()

{
	'Software\\Microsoft\\Windows\\CurrentVersion\\Run': {
		'timestamp': '2019-02-03T22:10:52.655462',
		'values': [{
			'name': 'Sidebar',
			'value': '%ProgramFiles%\\Windows Sidebar\\Sidebar.exe /autoRun',
			'value_type': 'REG_EXPAND_SZ',
			'is_corrupted': False
		}]
	}
}

Executar todos os plugins relevantes para uma hive específica

from regipy.plugins.utils import run_relevant_plugins
reg = RegistryHive('/Users/martinkorman/Documents/TestEvidence/Registry/SYSTEM')
run_relevant_plugins(reg, as_json=True)

{
	'routes': {},
	'computer_name': [{
		'control_set': 'ControlSet001\\Control\\ComputerName\\ComputerName',
		'computer_name': 'DESKTOP-5EG84UG',
		'timestamp': '2019-02-03T22:19:28.853219'
	}]
}

Casos de validação

Relatório de casos de validação

Todos os novos plugins devem ter um ou mais casos básicos de validação (que podem ser expandidos no futuro), por exemplo:

from regipy.plugins.system.bam import BAMPlugin
from regipy_tests.validation.validation import ValidationCase


class NTUserUserAssistValidationCase(ValidationCase):
    # define your plugin class
    plugin = BAMPlugin
    # define the test file name, which should be present in `regipy_tests/data`
    test_hive_file_name = "SYSTEM_WIN_10_1709.xz"

    # Use `expected_entries` to test for presence of a few samples from the plugin results
    expected_entries = [
        {
            "sequence_number": 9,
            "version": 1,
            "sid": "S-1-5-90-0-1",
            "executable": "\\Device\\HarddiskVolume2\\Windows\\System32\\dwm.exe",
            "timestamp": "2020-04-19T09:09:35.731816+00:00",
            "key_path": "\\ControlSet001\\Services\\bam\\state\\UserSettings\\S-1-5-90-0-1",
        }
    ]

    # OR use `exact_expected_result` to test for an exact result:
    exact_expected_result = [
        {
            "sequence_number": 9,
            "version": 1,
            "sid": "S-1-5-90-0-1",
            "executable": "\\Device\\HarddiskVolume2\\Windows\\System32\\dwm.exe",
            "timestamp": "2020-04-19T09:09:35.731816+00:00",
            "key_path": "\\ControlSet001\\Services\\bam\\state\\UserSettings\\S-1-5-90-0-1",
        },
        {
            "sequence_number": 8,
            "version": 1,
            "sid": "S-1-5-90-0-1",
            "executable": "\\Device\\HarddiskVolume2\\Windows\\System32\\cmd.exe",
            "timestamp": "2020-04-19T09:09:34.544224+00:00",
            "key_path": "\\ControlSet001\\Services\\bam\\state\\UserSettings\\S-1-5-90-0-1",
        }
    ]

    expected_entries_count = 2

Desenvolvimento

Configuração para desenvolvimento

# Clone the repository
git clone https://github.com/mkorman90/regipy.git
cd regipy

# Install in development mode with all dependencies
pip install -e ".[full,dev]"

# Install pre-commit hooks
pre-commit install

Executando testes

# Run all tests
pytest

# Run specific test files
pytest regipy_tests/tests.py
pytest regipy_tests/cli_tests.py

# Run plugin validation
PYTHONPATH=. python regipy_tests/validation/plugin_validation.py

Qualidade do código

# Run linter
ruff check .

# Run formatter
ruff format .

# Run type checker
mypy regipy/

Testando o GitHub Actions localmente

Para testar alterações no fluxo de trabalho CI localmente antes do push, use act:

# Install act (Fedora)
sudo dnf install act-cli

# Install act (macOS)
brew install act

# Install act (other)
# See https://nektosact.com/installation/index.html

Certifique-se de que o Docker esteja em execução, então:

# List available jobs
act -l

# Run the lint job
act -j lint

# Run all jobs for a push event
act push

# Run the test job with a specific Python version
act -j test

# Test the build job from publish workflow (simulates a release)
act release -j build --eventpath /dev/stdin <<< '{"action": "published"}'

Nota: Alguns jobs podem exigir secrets. Você pode fornecê-los com:

act -j publish --secret PYPI_API_TOKEN=your_token

Licença

MIT

NTUSER.DAT	1,812	173 ms	5 ms	38x
UsrClass.dat	6,205	948 ms	17 ms	55x
amcache.hve	2,105	837 ms	12 ms	67x
SYSTEM	30,756	23.1 s	91 ms	253x
SYSTEM (Win10 1709)	43,211	118.7 s	111 ms	1,068x
SOFTWARE	117,488	745.6 s	292 ms	2,550x

regipy

Mais Populares

regipy

Instalação

Backend acelerado por Rust (alfa)

CLI

Analisar o cabeçalho:

Despejar hive inteira para o disco (isso pode levar algum tempo)

Executar plugins relevantes em uma Hive

Comparar hives de registro

Recuperar uma hive de registro usando logs de transação:

Usando como biblioteca

Inicializar o objeto da hive de registro

Iterar recursivamente sobre toda a hive, a partir da chave raiz

Iterar sobre uma chave e obter todas as subchaves e seu tempo de modificação:

Obter os valores de uma chave:

Usar como plugin:

Executar todos os plugins relevantes para uma hive específica

Casos de validação

Desenvolvimento

Configuração para desenvolvimento

Executando testes

Qualidade do código

Testando o GitHub Actions localmente

Licença