Hive Database (Dart / Flutter)
| Format | Hive Database (Dart / Flutter) |
|---|---|
| Kurzname | Hive |
| Kategorie | Datenbank |
| Plattformen | Windows, macOS, Linux, iOS, Android |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-06 |
Forensische Relevanz
Append-only-Key-Value-Store der Dart/Flutter-Bibliothek Hive (Hive 2.x und deren Fortführung Hive CE). Jede Box ist eine Datei <name>.hive, der Box-Name in Kleinbuchstaben, neben einer Datei <name>.lock; eine Datei <name>.hivec ist das Zwischenergebnis einer Compaction. Hat keine Magic Bytes: Die Datei ist eine einfache Folge von Frames, jeweils bestehend aus einer Little-Endian-uint32-Frame-Länge, dem Key (Typ 0: uint32, Typ 1: UTF-8-String mit bis zu 255 Bytes), dem Wert (ein Byte mit der Typ-ID, gefolgt von den Daten, bei einer Löschung nicht vorhanden) und einer CRC32 über den Frame. Jeder Schreib- oder Löschvorgang hängt einen neuen Frame an, daher bleiben frühere Werte und gelöschte Keys in der Datei, bis eine Compaction nur die aktuellen Frames neu schreibt (automatisch, sobald mehr als 60 veraltete Frames über 15 % der Einträge ausmachen, oder wenn die App sie anfordert). Bei Verschlüsselung wird nur der Wert verschlüsselt (AES-256-CBC, zufälliger 16-Byte-IV vorangestellt, PKCS7-Padding); Keys bleiben im Klartext, und die CRC wird mit einer Prüfsumme des Keys initialisiert. Integer werden als 64-Bit-Floats gespeichert. Eigene Objekte tragen eine von der App definierte Typ-ID (gespeichert als ID + 32) und speichern ihre Felder über einen numerischen Index, nicht über den Namen. Hive CE ergänzt Werttypen wie Sets, DateTime, BigInt und Duration sowie 16-Bit-Typ-IDs, behält aber das Frame-Layout bei. Beim Öffnen einer Box, deren letzter Frame beschädigt ist, wird die Datei standardmäßig nach dem letzten gültigen Frame abgeschnitten. Die Entwicklungsversionen von Hive 4 speichern Boxen stattdessen als Isar-Datenbanken (siehe Isar Database). Je nach App enthalten Boxen Einstellungen, zwischengespeicherte Inhalte, Sitzungszustand wie Konto-IDs oder Tokens, Verläufe oder die Hauptdatensätze der App. Zu finden in den App-Datenverzeichnissen von Flutter-Apps unter Android, iOS und Desktop-Systemen.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
.hive, .hivec
Referenzen
- Hive 2.2.3 frame writer (source) https://github.com/isar/hive/blob/v2.2.3/hive/lib/src/binary/binary_writer_impl.dart
- Hive 2.2.3 storage backend: lock file, recovery, compaction (source) https://github.com/isar/hive/blob/v2.2.3/hive/lib/src/backend/vm/storage_backend_vm.dart
- Hive CE (Hive Community Edition) https://github.com/IO-Design-Team/hive_ce
Diesen Eintrag zitieren
Crush-Format-Referenz, „Hive Database (Dart / Flutter)“. https://kalink0.github.io/crush-forensics/formats/de/hive/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden