Hvad er SHD-filformatet?
En .shd-fil er en Windows Print Spooler shadow-fil - en midlertidig binær metadatapost oprettet af Windows Print Spooler-tjenesten (spoolsv.exe), hver gang et udskriftsjob sendes. Hver .shd-fil er parret med en .spl-fil med det samme grundnavn; .spl-filen indeholder de faktiske spool-data (EMF- eller RAW-udskriftsstrøm), mens .shd gemmer jobbets beskrivende metadata.
Shadow-filen registrerer: udskriftsjob-ID, dokumentnavn, afsendende brugernavn, kildemaskinens navn, målprinterens navn, datatype (RAW eller EMF), udskriftsprocessor, portnavn, tidsstempel for afsendelse, sideantal, jobprioritet og sikkerhedsdeskriptor. Disse metadata gør det muligt for spooleren at rekonstruere og genoptage afbrudte job efter en systemgenstart.
Begge filer skrives til C:\Windows\System32\spool\PRINTERS\ og slettes normalt, når udskrivningen er færdig. Efterladte .shd-filer efter et nedbrud eller et fastlåst job kan få udskriftskøen til at gå i stå; sletning af dem (sammen med deres parrede .spl-filer), mens Spooler-tjenesten er stoppet, rydder køen.
Formatet har været en del af Windows siden NT 3.1 (1993) og er officielt udokumenteret af Microsoft, selvom den interne struktur er blevet reverse-engineered og dokumenteret af fællesskabet. Retsmedicinsk (forensisk) er .shd-filer værdifulde, fordi de bevarer brugernavn, dokumentnavn, printermål og præcist tidsstempel, selv efter at udskrivningen er fuldført og filerne er slettet.
Et versionsord ved offset 2 identificerer Windows-æraen: 0x0200 for Windows 2000, 0x0300 for Windows XP og senere.
Sikkerhed og tryghed
RISIKO: LOWSHD-filer oprettes af selve Windows-operativsystemet og udgør ingen direkte risiko for malware. De afslører dog følsomme metadata (brugernavne, dokumentnavne, tidsstempler) og er retsmedicinsk signifikante. Angribere med SYSTEM-adgang, der kompromitterer spooleren, kan udnytte SHD/SPL-håndtering - en klasse af sårbarheder kendt siden Stuxnet-æraen (PrintNightmare og relaterede LNK/CPL-exploits udnytter spooler-mappen). Brugere bør ikke downloade eller køre filer, der påstår at være SHD-filer fra eksterne kilder.
Formatdetaljer
kort fortaltProgrammer der åbner SHD-filer
Windows2 apps
Microsoft Windows (Print Spooler)
Indbygget SHD-filer bruges internt af spoolsv.exe; der er ingen brugerrettet «åbn»-handling. For at rydde fastlåste job: Stop Print Spooler-tjenesten → slet SHD+SPL-filer → genstart tjenesten.
WinHex (forensic hex editor)
Betalt Åbn SHD-filen i en hex-editor; brug SHD-skabelonen fra github.com/kacos2000/WinHex_Templates til at analysere felterne. Tekniske detaljer
dyb specifikation| Kodning | Binær (proprietær, officielt udokumenteret af Microsoft) |
| Byte-orden | Little-endian |
| Magic bytes | FF FF ved offset 0; versionsord ved offset 2 (0x0200 = Windows 2000; 0x0300 = Windows XP og senere) |
| Typisk størrelse | 1 KB - 16 KB (kun metadata; ingen udskriftsdata) |
| Struktur | Binær header med fast længde efterfulgt af felter med variabel længde: job-ID, printernavn, dokumentnavn, brugernavn, maskinnavn, datatype, drivernavn, udskriftsprocessor, port, tidsstempel, sideantal, jobprioritet, sikkerhedsdeskriptor |
| Parret fil | Altid parret med en .spl-fil med samme grundnavn, som indeholder de faktiske spool-data (EMF- eller RAW-udskriftsstrøm) |
| Lagringsplacering | C:\Windows\System32\spool\PRINTERS\ (midlertidig; slettes af spooleren ved jobafslutning) |
| Oprettelsesproces | spoolsv.exe (Windows Print Spooler-tjeneste); oprettes ved jobafsendelse, fjernes ved afslutning |
| Retsmedicinsk værdi | Registrerer brugernavn, dokumentnavn, målprinter og tidsstempel for afsendelse - nyttigt til tilskrivning af udskriftsjob i digital efterforskning |
| Værdier for datatype-felt | RAW (printer-native data) eller EMF (Enhanced Metafile, enhedsuafhængigt format) |
| Platform | Windows NT 3.1 til og med Windows 11 |
| Udgivet | Windows NT 3.1 (1993) |
| Seneste version | Current across all Windows NT/10/11 versions |
| Specifikation | www.codeproject.com |
SHD-konverteringer
Fællesskabets Q&A
spurgt af brugereIngen spørgsmål endnu - vær den første til at spørge om SHD-filer.
