¿Qué es el formato de archivo SHD?
Un archivo .shd es un archivo de sombra del administrador de trabajos de impresión de Windows -un registro de metadatos binarios temporales creado por el servicio de cola de impresión de Windows (spoolsv.exe) cada vez que se envía un trabajo de impresión. Cada archivo .shd se empareja con un archivo .spl con el mismo nombre base; el archivo .spl contiene los datos reales de la cola (flujo de impresión EMF o RAW), mientras que el .shd almacena los metadatos descriptivos del trabajo.
El archivo de sombra registra: ID del trabajo de impresión, nombre del documento, nombre de usuario que lo envía, nombre de la máquina de origen, nombre de la impresora de destino, tipo de datos (RAW o EMF), procesador de impresión, nombre del puerto, marca de tiempo de envío, recuento de páginas, prioridad del trabajo y descriptor de seguridad. Estos metadatos permiten al administrador de trabajos reconstruir y reanudar trabajos interrumpidos tras un reinicio del sistema.
Ambos archivos se escriben en C:\Windows\System32\spool\PRINTERS\ y normalmente se eliminan una vez finalizada la impresión. Los archivos .shd huérfanos que quedan tras un fallo o un trabajo colgado pueden hacer que la cola de impresión se bloquee; eliminarlos (junto con sus archivos .spl asociados) mientras el servicio de cola de impresión está detenido limpia la cola.
El formato forma parte de Windows desde NT 3.1 (1993) y no está documentado oficialmente por Microsoft, aunque la estructura interna ha sido objeto de ingeniería inversa y documentada por la comunidad. Desde el punto de vista forense, los archivos .shd son valiosos porque conservan el nombre de usuario, el nombre del documento, el destino de la impresora y la marca de tiempo precisa del envío, incluso después de que la impresión haya finalizado y los archivos hayan sido eliminados.
Una palabra de versión en el desplazamiento 2 identifica la era de Windows: 0x0200 para Windows 2000, 0x0300 para Windows XP y posteriores.
Seguridad y protección
RIESGO: LOWLos archivos SHD son creados por el propio sistema operativo Windows y no suponen un riesgo directo de malware. Sin embargo, revelan metadatos sensibles (nombres de usuario, nombres de documentos, marcas de tiempo) y son significativos desde el punto de vista forense. Los atacantes con acceso SYSTEM que comprometan el administrador de trabajos pueden explotar el manejo de SHD/SPL -una clase de vulnerabilidades conocidas desde la era de Stuxnet (PrintNightmare y exploits LNK/CPL relacionados aprovechan la carpeta del administrador de trabajos). Los usuarios no deben descargar ni ejecutar archivos que pretendan ser archivos SHD de fuentes externas.
Detalles del formato
en pocas palabrasProgramas que abren archivos SHD
Windows2 apps
Microsoft Windows (Print Spooler)
Integrado Los archivos SHD son consumidos internamente por spoolsv.exe; no existe una acción de «abrir» para el usuario. Para borrar trabajos atascados: Detener servicio de cola de impresión → eliminar archivos SHD+SPL → reiniciar servicio.
WinHex (forensic hex editor)
Pago Abra el archivo SHD en un editor hexadecimal; utilice la plantilla SHD de github.com/kacos2000/WinHex_Templates para analizar los campos. Detalles técnicos
especificación profunda| Codificación | Binario (propietario, no documentado oficialmente por Microsoft) |
| Orden de bytes | Little-endian |
| Bytes mágicos | FF FF en el desplazamiento 0; palabra de versión en el desplazamiento 2 (0x0200 = Windows 2000; 0x0300 = Windows XP y posteriores) |
| Tamaño típico | 1 KB - 16 KB (solo metadatos; sin datos de impresión) |
| Estructura | Cabecera binaria de longitud fija seguida de campos de longitud variable: ID de trabajo, nombre de impresora, nombre de documento, nombre de usuario, nombre de máquina, tipo de datos, nombre de controlador, procesador de impresión, puerto, marca de tiempo, recuento de páginas, prioridad de trabajo, descriptor de seguridad |
| Archivo emparejado | Siempre emparejado con un archivo .spl del mismo nombre base, que contiene los datos reales de la cola (flujo de impresión EMF o RAW) |
| Ubicación de almacenamiento | C:\Windows\System32\spool\PRINTERS\ (temporal; eliminado por el administrador de trabajos al finalizar) |
| Proceso de creación | spoolsv.exe (servicio de cola de impresión de Windows); creado al enviar el trabajo, eliminado al finalizar |
| Valor forense | Registra el nombre de usuario, el nombre del documento, la impresora de destino y la marca de tiempo de envío - útil para la atribución de trabajos de impresión en informática forense |
| Valores del campo de tipo de datos | RAW (datos nativos de la impresora) o EMF (Enhanced Metafile, formato independiente del dispositivo) |
| Plataforma | Windows NT 3.1 hasta Windows 11 |
| Lanzado | Windows NT 3.1 (1993) |
| Última versión | Current across all Windows NT/10/11 versions |
| Especificación | www.codeproject.com |
Conversiones de SHD
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos SHD.
