Che cos'è il formato di file SHD?
Un file .shd è un file shadow dello spooler di stampa di Windows - un record temporaneo di metadati binari creato dal servizio Spooler di stampa di Windows (spoolsv.exe) ogni volta che viene inviato un lavoro di stampa. Ogni file .shd è associato a un file .spl con lo stesso nome di base; il file .spl contiene i dati di spool effettivi (flusso di stampa EMF o RAW), mentre il file .shd memorizza i metadati descrittivi del lavoro.
Il file shadow registra: ID del lavoro di stampa, nome del documento, nome utente che ha effettuato l'invio, nome della macchina di origine, nome della stampante di destinazione, tipo di dati (RAW o EMF), processore di stampa, nome della porta, timestamp di invio, conteggio delle pagine, priorità del lavoro e descrittore di sicurezza. Questi metadati consentono allo spooler di ricostruire e riprendere i lavori interrotti dopo un riavvio del sistema.
Entrambi i file vengono scritti in C:\Windows\System32\spool\PRINTERS\ e vengono normalmente eliminati una volta completata la stampa. I file .shd orfani rimasti dopo un arresto anomalo o un lavoro bloccato possono causare il blocco della coda di stampa; eliminarli (insieme ai relativi file .spl associati) mentre il servizio Spooler è arrestato svuota la coda.
Il formato fa parte di Windows dai tempi di NT 3.1 (1993) ed è ufficialmente non documentato da Microsoft, sebbene la struttura interna sia stata decodificata e documentata dalla comunità. Dal punto di vista forense, i file .shd sono preziosi perché conservano il nome utente, il nome del documento, la stampante di destinazione e il timestamp preciso dell'invio anche dopo che la stampa è stata completata e i file sono stati eliminati.
Una parola di versione all'offset 2 identifica l'era di Windows: 0x0200 per Windows 2000, 0x0300 per Windows XP e versioni successive.
Sicurezza e incolumità
RISCHIO: LOWI file SHD sono creati dal sistema operativo Windows stesso e non rappresentano un rischio diretto di malware. Tuttavia, rivelano metadati sensibili (nomi utente, nomi di documenti, timestamp) e sono rilevanti dal punto di vista forense. Gli aggressori con accesso SYSTEM che compromettono lo spooler possono sfruttare la gestione di SHD/SPL - una classe di vulnerabilità nota dall'era Stuxnet (PrintNightmare e relativi exploit LNK/CPL sfruttano la cartella dello spooler). Gli utenti non dovrebbero scaricare o eseguire file che dichiarano di essere file SHD da fonti esterne.
Dettagli del formato
in sintesiProgrammi che aprono file SHD
Windows2 apps
Microsoft Windows (Print Spooler)
Integrato I file SHD sono utilizzati internamente da spoolsv.exe; non esiste un'azione di «apertura» per l'utente. Per sbloccare i lavori: arresta il servizio Spooler di stampa → elimina i file SHD+SPL → riavvia il servizio.
WinHex (forensic hex editor)
A pagamento Apri il file SHD in un editor esadecimale; usa il template SHD da github.com/kacos2000/WinHex_Templates per analizzare i campi. Dettagli tecnici
specifiche approfondite| Codifica | Binario (proprietario, ufficialmente non documentato da Microsoft) |
| Ordine dei byte | Little-endian |
| Magic bytes | FF FF all'offset 0; parola di versione all'offset 2 (0x0200 = Windows 2000; 0x0300 = Windows XP e successivi) |
| Dimensione tipica | 1 KB - 16 KB (solo metadati; nessun dato di stampa) |
| Struttura | Intestazione binaria a lunghezza fissa seguita da campi a lunghezza variabile: ID lavoro, nome stampante, nome documento, nome utente, nome macchina, tipo di dati, nome driver, processore di stampa, porta, timestamp, conteggio pagine, priorità lavoro, descrittore di sicurezza |
| File associato | Sempre associato a un file .spl con lo stesso nome di base, che contiene i dati di spool effettivi (flusso di stampa EMF o RAW) |
| Posizione di archiviazione | C:\Windows\System32\spool\PRINTERS\ (temporaneo; eliminato dallo spooler al completamento del lavoro) |
| Processo di creazione | spoolsv.exe (servizio Spooler di stampa di Windows); creato all'invio del lavoro, rimosso al completamento |
| Valore forense | Registra nome utente, nome documento, stampante di destinazione e timestamp di invio - utile per l'attribuzione dei lavori di stampa nella digital forensics |
| Valori del campo datatype | RAW (dati nativi della stampante) o EMF (Enhanced Metafile, formato indipendente dal dispositivo) |
| Piattaforma | Windows NT 3.1 fino a Windows 11 |
| Rilasciato | Windows NT 3.1 (1993) |
| Ultima versione | Current across all Windows NT/10/11 versions |
| Specifica | www.codeproject.com |
Conversioni SHD
Domande e risposte della community
chiesto dagli utentiAncora nessuna domanda - sii il primo a chiedere informazioni sui file SHD.
