Qu'est-ce que le format de fichier SHD ?
Un fichier .shd est un fichier fantôme (shadow file) du spouleur d'impression Windows - un enregistrement binaire temporaire de métadonnées créé par le service Spouleur d'impression Windows (spoolsv.exe) chaque fois qu'une tâche d'impression est soumise. Chaque fichier .shd est associé à un fichier .spl portant le même nom de base ; le fichier .spl contient les données de spool réelles (flux d'impression EMF ou RAW), tandis que le .shd stocke les métadonnées descriptives de la tâche.
Le fichier fantôme enregistre : l'ID de la tâche d'impression, le nom du document, le nom d'utilisateur ayant soumis la tâche, le nom de la machine source, le nom de l'imprimante cible, le type de données (RAW ou EMF), le processeur d'impression, le nom du port, l'horodatage de soumission, le nombre de pages, la priorité de la tâche et le descripteur de sécurité. Ces métadonnées permettent au spouleur de reconstruire et de reprendre les tâches interrompues après un redémarrage du système.
Les deux fichiers sont écrits dans C:\Windows\System32\spool\PRINTERS\ et sont normalement supprimés une fois l'impression terminée. Les fichiers .shd orphelins laissés après un plantage ou une tâche suspendue peuvent bloquer la file d'attente d'impression ; les supprimer (ainsi que leurs fichiers .spl associés) pendant que le service Spouleur est arrêté permet de vider la file d'attente.
Le format fait partie de Windows depuis NT 3.1 (1993) et n'est officiellement pas documenté par Microsoft, bien que la structure interne ait été rétro-ingénierée et documentée par la communauté. Sur le plan de l'informatique légale (forensics), les fichiers .shd sont précieux car ils conservent le nom d'utilisateur, le nom du document, l'imprimante cible et l'horodatage précis de soumission, même après la fin de l'impression et la suppression des fichiers.
Un mot de version à l'offset 2 identifie l'ère Windows : 0x0200 pour Windows 2000, 0x0300 pour Windows XP et versions ultérieures.
Sécurité et sûreté
RISQUE : LOWLes fichiers SHD sont créés par le système d'exploitation Windows lui-même et ne présentent aucun risque direct de logiciel malveillant. Cependant, ils révèlent des métadonnées sensibles (noms d'utilisateur, noms de documents, horodatages) et sont importants pour l'analyse forensique. Des attaquants disposant d'un accès SYSTEM qui compromettent le spouleur peuvent exploiter la gestion des fichiers SHD/SPL - une classe de vulnérabilités connue depuis l'ère Stuxnet (PrintNightmare et les exploits LNK/CPL associés exploitent le dossier du spouleur). Les utilisateurs ne doivent pas télécharger ou exécuter des fichiers prétendant être des fichiers SHD provenant de sources externes.
Détails du format
en brefProgrammes qui ouvrent les fichiers SHD
Windows2 apps
Microsoft Windows (Print Spooler)
Intégré Les fichiers SHD sont consommés en interne par spoolsv.exe ; il n'y a pas d'action « ouvrir » pour l'utilisateur. Pour effacer les tâches bloquées : Arrêter le service Spouleur d'impression → supprimer les fichiers SHD+SPL → redémarrer le service.
WinHex (forensic hex editor)
Payant Ouvrez le fichier SHD dans un éditeur hexadécimal ; utilisez le modèle SHD de github.com/kacos2000/WinHex_Templates pour analyser les champs. Détails techniques
spécifications approfondies| Encodage | Binaire (propriétaire, officiellement non documenté par Microsoft) |
| Ordre des octets | Little-endian |
| Octets magiques | FF FF à l'offset 0 ; mot de version à l'offset 2 (0x0200 = Windows 2000 ; 0x0300 = Windows XP et versions ultérieures) |
| Taille typique | 1 Ko - 16 Ko (métadonnées uniquement ; pas de données d'impression) |
| Structure | En-tête binaire de longueur fixe suivi de champs de longueur variable : ID de tâche, nom de l'imprimante, nom du document, nom d'utilisateur, nom de la machine, type de données, nom du pilote, processeur d'impression, port, horodatage, nombre de pages, priorité de la tâche, descripteur de sécurité |
| Fichier associé | Toujours associé à un fichier .spl du même nom de base, qui contient les données de spool réelles (flux d'impression EMF ou RAW) |
| Emplacement de stockage | C:\Windows\System32\spool\PRINTERS\ (temporaire ; supprimé par le spouleur à la fin de la tâche) |
| Processus de création | spoolsv.exe (service Spouleur d'impression Windows) ; créé lors de la soumission de la tâche, supprimé à la fin |
| Valeur forensique | Enregistre le nom d'utilisateur, le nom du document, l'imprimante cible et l'horodatage de soumission - utile pour l'attribution des tâches d'impression en informatique légale |
| Valeurs du champ datatype | RAW (données natives de l'imprimante) ou EMF (Enhanced Metafile, format indépendant du périphérique) |
| Plateforme | Windows NT 3.1 jusqu'à Windows 11 |
| Publié | Windows NT 3.1 (1993) |
| Dernière version | Current across all Windows NT/10/11 versions |
| Spécification | www.codeproject.com |
Conversions SHD
Q&R de la communauté
posées par les utilisateursPas encore de questions - soyez le premier à poser une question sur les fichiers SHD.
