Registry Parser
100% côté client · aucun fichier envoyé

Registry Parser

Déposez les ruches ci-dessous. Tout est analysé localement dans votre navigateur — aucun envoi, aucun serveur.

Ruches de démonstration synthétiques (NTUSER.DAT, SYSTEM, SOFTWARE) d'une intrusion fictive — aucune donnée réelle. Astuce : le préréglage « Dernière heure » de la plage horaire isole la fenêtre de l’intrusion, ou cliquez sur un horodatage pour centrer la plage dessus.

Comment récupérer vos données

  1. Collectez les ruches
  2. Déposez les fichiers ici
  3. Analyse dans votre navigateur, aucun envoi

Machine Windows active. Ouvrez l'Invite de commandes en administrateur (dans une fenêtre PowerShell ou Terminal, tapez d'abord cmd). Écrit dans C:\triage\.

1 · SYSTEM, SOFTWARE, SAM, SECURITY + Amcache.hve
mkdir C:\triage 2>nul & reg save HKLM\SYSTEM C:\triage\SYSTEM /y & reg save HKLM\SOFTWARE C:\triage\SOFTWARE /y & reg save HKLM\SAM C:\triage\SAM /y & reg save HKLM\SECURITY C:\triage\SECURITY /y & esentutl.exe /y /vss C:\Windows\AppCompat\Programs\Amcache.hve /d C:\triage\Amcache.hve
2 · NTUSER.DAT + UsrClass.dat de chaque profil
for /d %U in (C:\Users\*) do (mkdir "C:\triage\%~nxU" 2>nul & esentutl.exe /y /vss "%U\NTUSER.DAT" /d "C:\triage\%~nxU\NTUSER.DAT" & esentutl.exe /y /vss "%U\AppData\Local\Microsoft\Windows\UsrClass.dat" /d "C:\triage\%~nxU\UsrClass.dat" & attrib -h -s "C:\triage\%~nxU\*.dat")

reg save écrit des copies propres et à jour des ruches machine chargées ; esentutl /vss copie les fichiers verrouillés depuis un cliché instantané. Les ruches utilisateur arrivent dans C:\triage\<utilisateur>\. Déposez ensuite les ruches machine et les NTUSER.DAT / UsrClass.dat de l'utilisateur étudié. Supprimez C:\triage avant de relancer la commande.

Pièges

  • Les ruches sont verrouillées pendant que Windows tourne : l'Explorateur ou copy échouent (« fichier utilisé »). Utilisez reg save, esentutl /vss ou un outil de copie brute, toujours en administrateur.
  • Les copies prises sur disque (esentutl, KAPE, images) peuvent être « sales » : les dernières modifications peuvent rester dans .LOG1 / .LOG2, qui ne sont pas rejoués ici. La sortie de reg save est toujours propre.
  • Gardez les noms de fichier d'origine : le type de ruche est reconnu par le nom, un fichier renommé SAM.hiv ou sam_copie perd son analyse SAM.

Aucune ruche chargée pour l'instant.

Ce que fait Registry Parser

Analyse forensique du Registre Windows dans votre navigateur

Registry Parser est un outil forensique gratuit, fonctionnant dans le navigateur, pour analyser les ruches du Registre Windows. Déposez un fichier NTUSER.DAT, SOFTWARE, SYSTEM, SAM, SECURITY, USRCLASS.DAT ou Amcache.hve : la ruche est analysée entièrement sur votre propre machine — rien n'est envoyé vers un serveur.

Il exécute plus de 140 plugins de type RegRipper sur les ruches chargées, extrayant les artefacts d'exécution, de persistance, USB, réseau, comptes et activité utilisateur, puis fusionne chaque résultat horodaté dans une frise chronologique forensique unique. Comme l'analyseur est compilé en WebAssembly et s'exécute côté client, il fonctionne hors ligne sous Windows, macOS et Linux sans rien installer.

Comment ça marche

De la ruche brute au rapport de triage en trois étapes — entièrement dans votre navigateur.

  1. 1

    Déposez vos ruches

    Glissez NTUSER.DAT, SOFTWARE, SYSTEM, SAM, SECURITY, USRCLASS.DAT ou Amcache.hve sur la page — ou cliquez pour parcourir. Chaque ruche est analysée localement avec WebAssembly ; rien n'est téléversé.

  2. 2

    Analyse automatique

    Plus de 140 plugins inspirés de RegRipper s'exécutent en parallèle dans des Web Workers, extrayant les artefacts d'exécution, de persistance, USB, réseau et de comptes, et les corrélant entre toutes les ruches chargées.

  3. 3

    Triage et export

    Consultez la vue d'ensemble corrélée, explorez les artefacts, les constats et une chronologie unifiée, puis exportez un rapport forensique en JSON, CSV, Markdown, HTML ou PDF.

Analyse de ruches par glisser-déposer

NTUSER.DAT, SOFTWARE, SYSTEM, SAM, SECURITY, USRCLASS.DAT et Amcache.hve, traitées localement avec hivex compilé en WebAssembly.

Plus de 140 plugins d'artefacts de type RegRipper couvrant l'exécution de programmes, la persistance et les démarrages automatiques, les périphériques USB, les réseaux, les comptes locaux et l'activité utilisateur.

Une arborescence de clés explorable et une recherche plein texte sur les noms de clés, les noms de valeurs et les données.

Une frise chronologique unifiée qui fusionne chaque artefact horodaté en une vue chronologique, exportable en TLN et bodyfile/mactime.

Des constats de triage automatiques qui signalent les configurations à haut risque issues des artefacts analysés.

Export en un clic vers JSON, CSV, un rapport forensique Markdown ou HTML, ou PDF.

Ruches du Registre prises en charge
NTUSER.DAT

activité par utilisateur : UserAssist, RecentDocs, TypedPaths, clés Run, MountPoints2 et plus.

SOFTWARE

programmes installés, profils réseau, tâches planifiées, Winlogon et persistance à l'échelle de la machine.

SYSTEM

services, AppCompatCache (ShimCache), BAM/DAM, USBSTOR, fuseau horaire et sélection du jeu de contrôle.

SAM

comptes utilisateurs locaux, RID, nombre de connexions et appartenance aux groupes.

SECURITY

secrets LSA, identifiants en cache et stratégie d'audit.

USRCLASS.DAT

ShellBags et MUICache sous Windows moderne.

Amcache.hve

inventaire de fichiers avec empreintes SHA-1 et horodatages de première apparition.

FAQ

Questions fréquentes

Registry Parser est-il gratuit, et mes fichiers sont-ils envoyés quelque part ?

Oui, il est gratuit, et aucun fichier n'est jamais envoyé. Chaque ruche est analysée entièrement dans votre navigateur grâce à WebAssembly : les fichiers ne quittent jamais votre machine. C'est donc sûr pour des preuves et des données sensibles.

Quelles ruches du Registre Windows puis-je analyser ?

NTUSER.DAT, USRCLASS.DAT, SOFTWARE, SYSTEM, SAM, SECURITY et Amcache.hve. Vous pouvez en charger plusieurs à la fois — par exemple le NTUSER.DAT d'un utilisateur avec SYSTEM et SOFTWARE — et les artefacts sont corrélés entre elles.

Est-ce une alternative à RegRipper dans le navigateur ?

En pratique, oui. Registry Parser exécute plus de 140 plugins inspirés de ceux de RegRipper, extrayant les mêmes artefacts, mais il fonctionne dans n'importe quel navigateur moderne, sans Perl, sans installation et sans ligne de commande. C'est un moyen rapide de trier une ruche quand on ne peut rien installer.

Comment ouvrir un fichier NTUSER.DAT ?

Glissez le fichier NTUSER.DAT sur la zone de dépôt ci-dessus, ou cliquez pour parcourir. La ruche est analysée localement et vous pouvez immédiatement explorer son arborescence de clés, exécuter tous les plugins d'artefacts et construire une frise chronologique.

Fonctionne-t-il hors ligne et sous macOS ou Linux ?

Oui. L'analyseur est compilé en WebAssembly et s'exécute entièrement côté client : il est indépendant du système d'exploitation et continue de fonctionner sans connexion réseau une fois la page chargée.

Quels artefacts forensiques extrait-il ?

Exécution de programmes (UserAssist, AppCompatCache/ShimCache, Amcache, BAM/DAM), persistance et démarrages automatiques (clés Run, services, tâches planifiées, Winlogon), historique des périphériques USB, historique des connexions réseau, comptes locaux et activité utilisateur comme RecentDocs et ShellBags.

Outils associés

Les artefacts qui répondent à la question suivante de la même enquête.

Lisez des analyses détaillées des artefacts et des plugins RegRipper sur le blog Registry Parser.