Glossar
Dirty Hive
Ein Registry-Hive, dessen Sequenznummern im Header abweichen: Ein Teil der Änderungen existiert nur in den .LOG1/.LOG2-Protokollen und muss eingespielt werden.
Ein Hive ist dirty, wenn die primäre und die sekundäre Sequenznummer in seinem Basisblock (Offsets 4 und 8) voneinander abweichen: Windows hatte begonnen, Änderungen zu schreiben, die in den Transaktionsprotokollen (.LOG1, .LOG2) festgehalten, aber noch nicht in die Hauptdatei übernommen wurden (libregf, msuhanov/regf).
Bei BAM sind diese ausstehenden Schreibvorgänge oft die jüngsten Ausführungen. Sichern Sie die Protokolle immer mit dem SYSTEM-Hive, spielen Sie sie ein (etwa mit rla.exe oder Registry Explorer) und parsen Sie das Ergebnis. Der BAM/DAM Parser warnt bei einem Dirty Hive, spielt die Protokolle aber nicht selbst ein.