Wat is het SHD-bestandsformaat?
Een .shd-bestand is een Windows Print Spooler shadow file - een tijdelijk binair metadatabestand dat wordt aangemaakt door de Windows Print Spooler-service (spoolsv.exe) telkens wanneer een afdruktaak wordt ingediend. Elk .shd-bestand is gekoppeld aan een .spl-bestand met dezelfde basisnaam; het .spl-bestand bevat de eigenlijke spoolgegevens (EMF- of RAW-afdrukstroom), terwijl .shd de beschrijvende metadata van de taak opslaat.
Het schaduwbestand registreert: afdruktaak-ID, documentnaam, de gebruikersnaam die de taak indient, de naam van de bronmachine, de naam van de doelprinter, het datatype (RAW of EMF), de afdrukprocessor, de poortnaam, het tijdstip van indiening, het aantal pagina's, de taakprioriteit en de beveiligingsdescriptor. Deze metadata stelt de spooler in staat om onderbroken taken na een systeemherstart te reconstrueren en te hervatten.
Beide bestanden worden geschreven naar C:\Windows\System32\spool\PRINTERS\ en worden normaal gesproken verwijderd zodra het afdrukken is voltooid. Achtergebleven .shd-bestanden na een crash of een vastgelopen taak kunnen ervoor zorgen dat de afdrukwachtrij blokkeert; door ze te verwijderen (samen met hun bijbehorende .spl-bestanden) terwijl de Spooler-service is gestopt, wordt de wachtrij leeggemaakt.
Het formaat maakt deel uit van Windows sinds NT 3.1 (1993) en is officieel niet gedocumenteerd door Microsoft, hoewel de interne structuur door de gemeenschap is geanalyseerd en gedocumenteerd. Forensisch gezien zijn .shd-bestanden waardevol omdat ze de gebruikersnaam, documentnaam, doelprinter en het exacte tijdstip van indiening bewaren, zelfs nadat het afdrukken is voltooid en de bestanden zijn verwijderd.
Een versiewoord op offset 2 identificeert het Windows-tijdperk: 0x0200 voor Windows 2000, 0x0300 voor Windows XP en later.
Beveiliging & veiligheid
RISICO: LOWSHD-bestanden worden aangemaakt door het Windows-besturingssysteem zelf en vormen geen direct risico op malware. Ze onthullen echter gevoelige metadata (gebruikersnamen, documentnamen, tijdstempels) en zijn forensisch relevant. Aanvallers met SYSTEM-toegang die de spooler compromitteren, kunnen de verwerking van SHD/SPL misbruiken - een klasse kwetsbaarheden die bekend is sinds het Stuxnet-tijdperk (PrintNightmare en gerelateerde LNK/CPL-exploits maken gebruik van de spooler-map). Gebruikers moeten geen bestanden downloaden of uitvoeren die beweren SHD-bestanden te zijn van externe bronnen.
Formaatdetails
in een notendopProgramma's die SHD-bestanden openen
Windows2 apps
Microsoft Windows (Print Spooler)
Ingebouwd SHD-bestanden worden intern gebruikt door spoolsv.exe; er is geen actie voor de gebruiker om ze te „openen”. Om vastgelopen taken te wissen: Stop Print Spooler-service → verwijder SHD+SPL-bestanden → herstart service.
WinHex (forensic hex editor)
Betaald Open het SHD-bestand in een hex-editor; gebruik de SHD-sjabloon van github.com/kacos2000/WinHex_Templates om de velden te analyseren. Technische details
diepe specificaties| Codering | Binair (eigendomsrechtelijk, officieel niet gedocumenteerd door Microsoft) |
| Byte-volgorde | Little-endian |
| Magic bytes | FF FF op offset 0; versiewoord op offset 2 (0x0200 = Windows 2000; 0x0300 = Windows XP en later) |
| Typische grootte | 1 KB - 16 KB (alleen metadata; geen afdrukgegevens) |
| Structuur | Binaire header met vaste lengte gevolgd door velden met variabele lengte: taak-ID, printernaam, documentnaam, gebruikersnaam, machinenaam, datatype, naam stuurprogramma, afdrukprocessor, poort, tijdstempel, aantal pagina's, taakprioriteit, beveiligingsdescriptor |
| Gekoppeld bestand | Altijd gekoppeld aan een .spl-bestand met dezelfde basisnaam, dat de eigenlijke spoolgegevens bevat (EMF- of RAW-afdrukstroom) |
| Opslaglocatie | C:\Windows\System32\spool\PRINTERS\ (tijdelijk; verwijderd door spooler bij voltooiing taak) |
| Aanmakend proces | spoolsv.exe (Windows Print Spooler-service); aangemaakt bij indiening taak, verwijderd bij voltooiing |
| Forensische waarde | Registreert gebruikersnaam, documentnaam, doelprinter en tijdstempel van indiening - nuttig voor het toewijzen van afdruktaken in digitale forensica |
| Waarden datatype-veld | RAW (printer-eigen gegevens) of EMF (Enhanced Metafile, apparaatonafhankelijk formaat) |
| Platform | Windows NT 3.1 tot en met Windows 11 |
| Uitgebracht | Windows NT 3.1 (1993) |
| Laatste versie | Current across all Windows NT/10/11 versions |
| Specificatie | www.codeproject.com |
SHD conversies
Community V&A
gevraagd door gebruikersNog geen vragen - wees de eerste om iets te vragen over SHD-bestanden.
