SHD ファイル形式とは？
.shd ファイルは Windows Print Spooler shadow file（シャドウファイル）です。これは、印刷ジョブが送信されるたびに Windows Print Spooler サービス（spoolsv.exe）によって作成される一時的なバイナリメタデータレコードです。各 .shd ファイルは、同じベース名を持つ .spl ファイルとペアになっています。.spl ファイルには実際のスプールデータ（EMF または RAW 印刷ストリーム）が保持され、.shd ファイルにはジョブの説明的なメタデータが保存されます。
シャドウファイルには、印刷ジョブ ID、ドキュメント名、送信ユーザー名、ソースマシン名、ターゲットプリンター名、データ型（RAW または EMF）、プリントプロセッサ、ポート名、送信タイムスタンプ、ページ数、ジョブの優先度、およびセキュリティ記述子が記録されます。このメタデータにより、システム再起動後に中断されたジョブをスプーラーが再構成して再開することが可能になります。
両方のファイルは C:\Windows\System32\spool\PRINTERS\ に書き込まれ、通常は印刷が完了すると削除されます。クラッシュやジョブのハングアップ後に残された孤立した .shd ファイルは、印刷キューが詰まる原因となります。スプーラーサービスを停止している間に、これらを（ペアの .spl ファイルと共に）削除することでキューをクリアできます。
この形式は Windows NT 3.1（1993年）から Windows の一部となっており、Microsoft によって公式には文書化されていませんが、内部構造はコミュニティによってリバースエンジニアリングされ、文書化されています。フォレンジックの観点では、印刷が完了してファイルが削除された後でも、ユーザー名、ドキュメント名、ターゲットプリンター、および正確な送信タイムスタンプが保持されているため、.shd ファイルは非常に価値があります。
オフセット 2 のバージョンワードで Windows の世代を識別できます。Windows 2000 の場合は 0x0200、Windows XP 以降の場合は 0x0300 です。
セキュリティと安全性
リスク： LOWSHD ファイルは Windows OS 自体によって作成されるため、直接的なマルウェアのリスクはありません。ただし、機密性の高いメタデータ（ユーザー名、ドキュメント名、タイムスタンプ）が含まれており、フォレンジック上の重要性があります。スプーラーを侵害し SYSTEM 権限を持つ攻撃者は、SHD/SPL の処理を悪用する可能性があります。これは Stuxnet の時代から知られている脆弱性クラスです（PrintNightmare や関連する LNK/CPL エクスプロイトはスプーラーフォルダを悪用します）。外部ソースから SHD ファイルを自称するファイルをダウンロードしたり実行したりしないでください。
形式の詳細
概要SHD ファイルを開くプログラム
Windows2 apps
Microsoft Windows (Print Spooler)
標準搭載 SHD ファイルは spoolsv.exe によって内部的に使用されます。ユーザー向けの «開く» アクションはありません。詰まったジョブをクリアするには：Print Spooler サービスを停止 → SHD+SPL ファイルを削除 → サービスを再起動。
WinHex (forensic hex editor)
有料 バイナリエディタで SHD ファイルを開きます。github.com/kacos2000/WinHex_Templates の SHD テンプレートを使用してフィールドを解析してください。 技術的詳細
詳細仕様| エンコーディング | バイナリ（独自形式、Microsoft により公式には非公開） |
| バイト順序 | リトルエンディアン |
| マジックバイト | オフセット 0 に FF FF、オフセット 2 にバージョンワード（0x0200 = Windows 2000、0x0300 = Windows XP 以降） |
| 一般的なサイズ | 1 KB - 16 KB（メタデータのみ、印刷データなし） |
| 構造 | 固定長のバイナリヘッダーに続き、可変長のフィールド（ジョブ ID、プリンター名、ドキュメント名、ユーザー名、マシン名、データ型、ドライバー名、プリントプロセッサ、ポート、タイムスタンプ、ページ数、ジョブ優先度、セキュリティ記述子）が配置される |
| ペアファイル | 常に同じベース名の .spl ファイルとペアになり、そちらに実際の印刷データ（EMF または RAW 印刷ストリーム）が保持される |
| 保存場所 | C:\Windows\System32\spool\PRINTERS\（一時的。ジョブ完了時にスプーラーによって削除される） |
| 作成プロセス | spoolsv.exe (Windows Print Spooler サービス)。ジョブ送信時に作成され、完了時に削除される |
| フォレンジック価値 | ユーザー名、ドキュメント名、ターゲットプリンター、送信タイムスタンプを記録するため、デジタルフォレンジックにおける印刷ジョブの特定に有用 |
| データ型フィールドの値 | RAW（プリンター固有データ）または EMF（Enhanced Metafile、デバイスに依存しない形式） |
| プラットフォーム | Windows NT 3.1 から Windows 11 まで |
| リリース日 | Windows NT 3.1 (1993) |
| 最新バージョン | Current across all Windows NT/10/11 versions |
| 仕様書 | www.codeproject.com |
SHD の変換
コミュニティ Q&A
ユーザーからの質問まだ質問はありません。SHD ファイルについて最初の質問をしてみましょう。
