O que é o formato de ficheiro SHD?
Um arquivo .shd é um Windows Print Spooler shadow file - um registro binário temporário de metadados criado pelo serviço de Spooler de Impressão do Windows (spoolsv.exe) sempre que um trabalho de impressão é enviado. Cada arquivo .shd é pareado com um arquivo .spl de mesmo nome base; o arquivo .spl contém os dados reais do spool (fluxo de impressão EMF ou RAW), enquanto o .shd armazena os metadados descritivos do trabalho.
O arquivo shadow registra: ID do trabalho de impressão, nome do documento, nome de usuário remetente, nome da máquina de origem, nome da impressora de destino, tipo de dados (RAW ou EMF), processador de impressão, nome da porta, carimbo de data/hora de envio, contagem de páginas, prioridade do trabalho e descritor de segurança. Esses metadados permitem que o spooler reconstrua e retome trabalhos interrompidos após a reinicialização do sistema.
Ambos os arquivos são gravados em C:\Windows\System32\spool\PRINTERS\ e normalmente são excluídos assim que a impressão é concluída. Arquivos .shd órfãos deixados após uma falha ou trabalho travado podem fazer com que a fila de impressão fique bloqueada; excluí-los (junto com seus arquivos .spl pareados) enquanto o serviço de Spooler está parado limpa a fila.
O formato faz parte do Windows desde o NT 3.1 (1993) e não é documentado oficialmente pela Microsoft, embora a estrutura interna tenha sido submetida a engenharia reversa e documentada pela comunidade. Do ponto de vista forense, os arquivos .shd são valiosos porque preservam o nome de usuário, o nome do documento, o destino da impressora e o carimbo de data/hora preciso do envio, mesmo após a conclusão da impressão e a exclusão dos arquivos.
Uma palavra de versão no deslocamento 2 identifica a era do Windows: 0x0200 para Windows 2000, 0x0300 para Windows XP e posteriores.
Segurança e proteção
RISCO: LOWOs arquivos SHD são criados pelo próprio sistema operacional Windows e não representam risco direto de malware. No entanto, eles revelam metadados sensíveis (nomes de usuário, nomes de documentos, carimbos de data/hora) e são significativos para fins forenses. Atacantes com acesso SYSTEM que comprometam o spooler podem explorar o manuseio de SHD/SPL - uma classe de vulnerabilidades conhecida desde a era Stuxnet (PrintNightmare e exploits LNK/CPL relacionados aproveitam a pasta do spooler). Os usuários não devem baixar ou executar arquivos que afirmam ser arquivos SHD de fontes externas.
Detalhes do formato
em resumoProgramas que abrem arquivos SHD
Windows2 apps
Microsoft Windows (Print Spooler)
Integrado Os arquivos SHD são consumidos internamente pelo spoolsv.exe; não há uma ação de «abrir» voltada para o usuário. Para limpar trabalhos travados: Pare o serviço Spooler de Impressão → exclua os arquivos SHD+SPL → reinicie o serviço.
WinHex (forensic hex editor)
Pago Abra o arquivo SHD em um editor hexadecimal; use o modelo SHD de github.com/kacos2000/WinHex_Templates para analisar os campos. Detalhes técnicos
especificação profunda| Codificação | Binário (proprietário, oficialmente não documentado pela Microsoft) |
| Ordem dos bytes | Little-endian |
| Magic bytes | FF FF no deslocamento 0; palavra de versão no deslocamento 2 (0x0200 = Windows 2000; 0x0300 = Windows XP e posteriores) |
| Tamanho típico | 1 KB - 16 KB (apenas metadados; sem dados de impressão) |
| Estrutura | Cabeçalho binário de comprimento fixo seguido por campos de comprimento variável: ID do trabalho, nome da impressora, nome do documento, nome de usuário, nome da máquina, tipo de dados, nome do driver, processador de impressão, porta, carimbo de data/hora, contagem de páginas, prioridade do trabalho, descritor de segurança |
| Arquivo pareado | Sempre pareado com um arquivo .spl de mesmo nome base, que contém os dados reais do spool (fluxo de impressão EMF ou RAW) |
| Local de armazenamento | C:\Windows\System32\spool\PRINTERS\ (temporário; excluído pelo spooler na conclusão do trabalho) |
| Processo de criação | spoolsv.exe (serviço de Spooler de Impressão do Windows); criado no envio do trabalho, removido na conclusão |
| Valor forense | Registra nome de usuário, nome do documento, impressora de destino e carimbo de data/hora de envio - útil para atribuição de trabalhos de impressão em computação forense |
| Valores do campo de tipo de dados | RAW (dados nativos da impressora) ou EMF (Enhanced Metafile, formato independente de dispositivo) |
| Plataforma | Windows NT 3.1 até Windows 11 |
| Lançado | Windows NT 3.1 (1993) |
| Versão mais recente | Current across all Windows NT/10/11 versions |
| Especificação | www.codeproject.com |
Conversões de SHD
Perguntas e Respostas da Comunidade
perguntado por usuáriosAinda não há perguntas - seja o primeiro a perguntar sobre arquivos SHD.
