Hva er SHD-filformatet?
En .shd-fil er en Windows Print Spooler shadow file - en midlertidig binær metadatapost opprettet av Windows Print Spooler-tjenesten (spoolsv.exe) hver gang en utskriftsjobb sendes. Hver .shd-fil er parret med en .spl-fil med samme navn; .spl-filen inneholder selve utskriftsdataene (EMF- eller RAW-utskriftsstrøm), mens .shd lagrer jobbens beskrivende metadata.
Skyggefilen registrerer: utskriftsjobb-ID, dokumentnavn, brukernavn, navnet på kildemaskinen, målskriverens navn, datatype (RAW eller EMF), utskriftsprosessor, portnavn, tidsstempel for innsending, sidetall, jobb-prioritet og sikkerhetsbeskrivelse. Disse metadataene lar utskriftskøen rekonstruere og gjenoppta avbrutte jobber etter en systemstart.
Begge filene skrives til C:\Windows\System32\spool\PRINTERS\ og slettes normalt når utskriften er ferdig. Foreldreløse .shd-filer som blir liggende igjen etter et krasj eller en låst jobb, kan føre til at utskriftskøen stopper opp; sletting av disse (sammen med de tilhørende .spl-filene) mens Spooler-tjenesten er stoppet, tømmer køen.
Formatet har vært en del av Windows siden NT 3.1 (1993) og er offisielt udokumentert av Microsoft, selv om den interne strukturen har blitt omvendt utviklet (reverse-engineered) og dokumentert av miljøet. Rettsmedisinsk (forensisk) er .shd-filer verdifulle fordi de bevarer brukernavn, dokumentnavn, målskriver og nøyaktig tidsstempel selv etter at utskriften er fullført og filene er slettet.
Et versjonsord ved posisjon (offset) 2 identifiserer Windows-æraen: 0x0200 for Windows 2000, 0x0300 for Windows XP og nyere.
Sikkerhet og trygghet
RISIKO: LOWSHD-filer opprettes av selve Windows-operativsystemet og utgjør ingen direkte risiko for skadelig programvare. De avslører imidlertid sensitive metadata (brukernavn, dokumentnavn, tidsstempler) og er rettsmedisinsk signifikante. Angripere med SYSTEM-tilgang som kompromitterer spooleren kan utnytte SHD/SPL-håndtering - en klasse sårbarheter kjent siden Stuxnet-æraen (PrintNightmare og relaterte LNK/CPL-utnyttelser utnytter spooler-mappen). Brukere bør ikke laste ned eller kjøre filer som utgir seg for å være SHD-filer fra eksterne kilder.
Formatdetaljer
i et nøtteskallProgrammer som åpner SHD-filer
Windows2 apps
Microsoft Windows (Print Spooler)
Innebygd SHD-filer brukes internt av spoolsv.exe; det finnes ingen brukerrettet «åpne»-handling. For å fjerne låste jobber: Stopp Print Spooler-tjenesten → slett SHD+SPL-filer → start tjenesten på nytt.
WinHex (forensic hex editor)
Betalt Åpne SHD-filen i en heksadesimal editor; bruk SHD-malen fra github.com/kacos2000/WinHex_Templates for å tolke feltene. Tekniske detaljer
dyp spesifikasjon| Koding | Binær (proprietær, offisielt udokumentert av Microsoft) |
| Byterekkefølge | Little-endian |
| Magic bytes | FF FF ved offset 0; versjonsord ved offset 2 (0x0200 = Windows 2000; 0x0300 = Windows XP og nyere) |
| Typisk størrelse | 1 KB - 16 KB (kun metadata; ingen utskriftsdata) |
| Struktur | Binær header med fast lengde etterfulgt av felt med variabel lengde: jobb-ID, skrivernavn, dokumentnavn, brukernavn, maskinnavn, datatype, drivernavn, utskriftsprosessor, port, tidsstempel, sidetall, jobb-prioritet, sikkerhetsbeskrivelse |
| Parret fil | Alltid parret med en .spl-fil med samme navn, som inneholder selve utskriftsdataene (EMF- eller RAW-utskriftsstrøm) |
| Lagringssted | C:\Windows\System32\spool\PRINTERS\ (midlertidig; slettes av spooler ved fullført jobb) |
| Opprettende prosess | spoolsv.exe (Windows Print Spooler-tjeneste); opprettes ved innsending av jobb, fjernes ved fullføring |
| Forensisk verdi | Registrerer brukernavn, dokumentnavn, målskriver og tidsstempel - nyttig for attribusjon av utskriftsjobber i digital etterforskning |
| Verdier for datatypefelt | RAW (skriver-native data) eller EMF (Enhanced Metafile, enhetsuavhengig format) |
| Plattform | Windows NT 3.1 til og med Windows 11 |
| Utgitt | Windows NT 3.1 (1993) |
| Siste versjon | Current across all Windows NT/10/11 versions |
| Spesifikasjon | www.codeproject.com |
SHD-konverteringer
Spørsmål og svar fra fellesskapet
spurt av brukereIngen spørsmål ennå - vær den første til å spørre om SHD-filer.
