Was ist das SHD-Dateiformat?
Eine .shd-Datei ist eine Windows Print Spooler Shadow-Datei - ein temporärer binärer Metadatensatz, der vom Windows-Druckwarteschlangendienst (spoolsv.exe) erstellt wird, wann immer ein Druckauftrag übermittelt wird. Jede .shd-Datei ist mit einer .spl-Datei desselben Basisnamens verknüpft; die .spl-Datei enthält die eigentlichen Spool-Daten (EMF- oder RAW-Druckdatenstrom), während die .shd-Datei die beschreibenden Metadaten des Auftrags speichert.
Die Shadow-Datei protokolliert: Druckauftrags-ID, Dokumentname, übermittelnder Benutzername, Name des Quellrechners, Name des Zieldruckers, Datentyp (RAW oder EMF), Druckprozessor, Portname, Zeitstempel der Übermittlung, Seitenzahl, Auftragspriorität und Sicherheitsdeskriptor. Diese Metadaten ermöglichen es dem Spooler, unterbrochene Aufträge nach einem Systemneustart zu rekonstruieren und fortzusetzen.
Beide Dateien werden nach C:\Windows\System32\spool\PRINTERS\ geschrieben und normalerweise gelöscht, sobald der Druckvorgang abgeschlossen ist. Verwaiste .shd-Dateien, die nach einem Absturz oder einem hängenden Auftrag zurückbleiben, können dazu führen, dass die Druckwarteschlange blockiert; das Löschen dieser Dateien (zusammen mit den zugehörigen .spl-Dateien) bei gestopptem Spooler-Dienst leert die Warteschlange.
Das Format ist seit Windows NT 3.1 (1993) Teil von Windows und von Microsoft offiziell nicht dokumentiert, obwohl die interne Struktur von der Community per Reverse-Engineering analysiert und dokumentiert wurde. Forensisch gesehen sind .shd-Dateien wertvoll, da sie den Benutzernamen, den Dokumentnamen, das Druckerziel und den präzisen Zeitstempel der Übermittlung bewahren, selbst nachdem der Druckvorgang abgeschlossen und die Dateien gelöscht wurden.
Ein Versionswort an Offset 2 identifiziert die Windows-Ära: 0x0200 für Windows 2000, 0x0300 für Windows XP und später.
Sicherheit
RISIKO: LOWSHD-Dateien werden vom Windows-Betriebssystem selbst erstellt und stellen kein direktes Malware-Risiko dar. Sie enthalten jedoch sensible Metadaten (Benutzernamen, Dokumentnamen, Zeitstempel) und sind forensisch bedeutsam. Angreifer mit SYSTEM-Rechten, die den Spooler kompromittieren, können die Verarbeitung von SHD/SPL ausnutzen - eine Klasse von Schwachstellen, die seit der Stuxnet-Ära bekannt ist (PrintNightmare und verwandte LNK/CPL-Exploits nutzen den Spooler-Ordner). Benutzer sollten keine Dateien von externen Quellen herunterladen oder ausführen, die vorgeben, SHD-Dateien zu sein.
Formatdetails
kurz gefasstProgramme zum Öffnen von SHD-Dateien
Windows2 apps
Microsoft Windows (Print Spooler)
Integriert SHD-Dateien werden intern von spoolsv.exe verarbeitet; es gibt keine für den Benutzer vorgesehene Aktion zum „Öffnen“. Um hängende Aufträge zu löschen: Dienst „Druckwarteschlange“ stoppen → SHD+SPL-Dateien löschen → Dienst neu starten.
WinHex (forensic hex editor)
Kostenpflichtig Öffnen Sie die SHD-Datei in einem Hex-Editor; verwenden Sie das SHD-Template von github.com/kacos2000/WinHex_Templates, um die Felder zu analysieren. Technische Details
technische Spezifikation| Kodierung | Binär (proprietär, offiziell von Microsoft nicht dokumentiert) |
| Byte-Reihenfolge | Little-endian |
| Magic Bytes | FF FF an Offset 0; Versionswort an Offset 2 (0x0200 = Windows 2000; 0x0300 = Windows XP und später) |
| Typische Größe | 1 KB - 16 KB (nur Metadaten; keine Druckdaten) |
| Struktur | Binärer Header mit fester Länge, gefolgt von Feldern variabler Länge: Auftrags-ID, Druckername, Dokumentname, Benutzername, Rechnername, Datentyp, Treibername, Druckprozessor, Port, Zeitstempel, Seitenzahl, Auftragspriorität, Sicherheitsdeskriptor |
| Zugehörige Datei | Immer gepaart mit einer .spl-Datei desselben Basisnamens, welche die eigentlichen Spool-Daten (EMF- oder RAW-Druckdatenstrom) enthält |
| Speicherort | C:\Windows\System32\spool\PRINTERS\ (temporär; wird vom Spooler nach Abschluss des Auftrags gelöscht) |
| Erzeugender Prozess | spoolsv.exe (Windows Print Spooler Dienst); erstellt bei Auftragsübermittlung, entfernt bei Abschluss |
| Forensischer Wert | Protokolliert Benutzernamen, Dokumentnamen, Zieldrucker und Zeitstempel der Übermittlung - nützlich für die Zuordnung von Druckaufträgen in der digitalen Forensik |
| Werte des Datentyp-Feldes | RAW (druckernative Daten) oder EMF (Enhanced Metafile, geräteunabhängiges Format) |
| Plattform | Windows NT 3.1 bis Windows 11 |
| Veröffentlicht | Windows NT 3.1 (1993) |
| Neueste Version | Current across all Windows NT/10/11 versions |
| Spezifikation | www.codeproject.com |
SHD-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu SHD-Dateien.
