Glossar
Dirty Hive
Ein Registry-Hive, dessen Primärdatei noch nicht die in den .LOG1/.LOG2-Protokollen gehaltenen Schreibvorgänge enthält, erkennbar an abweichenden Sequenznummern.
Windows schreibt Registry-Änderungen zuerst in Transaktionsprotokolle (.LOG1, .LOG2) und führt sie später in die Primärdatei des Hives zusammen. Ein vor dieser Zusammenführung kopierter Hive ist „dirty“: Die beiden Sequenznummern im Basisblock weichen voneinander ab, und die jüngsten Schlüssel oder Werte existieren womöglich nur in den Protokollen.
Für ShellBags heißt das: Die zuletzt besuchten Ordner können fehlen. Sichern Sie die Protokolle mit dem Hive und spielen Sie sie vor der Auswertung ein (etwa mit rla.exe). Der ShellBags Parser markiert dirty Hives, spielt die Protokolle aber noch nicht ein. Siehe Speicherort der ShellBags.