Что такое формат файла SHS?
Файл .shs содержит фрагмент документа Microsoft Word или Excel в виде встроенного объекта, созданного и используемого в старых системах Windows. Формат построен на контейнере OLE2 Compound File Binary - той же бинарной структуре, которая используется в устаревших файлах .doc и .xls - и идентифицируется сигнатурой (magic bytes) D0 CF 11 E0 со смещением 0. Компонентом Windows, отвечающим за чтение и запись файлов .shs, является shscrap.dll (Shell Scrap Object Handler). Этот обработчик поставлялся с Windows 95 по Windows XP до SP2; Microsoft отключила его по умолчанию в Windows XP SP2 (2004) и удалила из последующих выпусков, что сделало формат фактически устаревшим.
Файлы .shs создаются путем перетаскивания выделенного фрагмента документа Office на рабочий стол или в папку. Обработчик Shell Scrap Object (shscrap) захватывает выделение и сохраняет его как объект «scrap» (клочок), который позже можно перетащить обратно в совместимый документ. Важно отметить, что Windows скрывала расширение .shs по умолчанию независимо от настроек папок пользователя - в отличие от большинства типов файлов, включение опции «показывать расширения файлов» не отображало его. Пользователь не мог открыть файл .shs напрямую; его можно было только вставить в открытый документ. Поскольку .shs является исполняемым форматом, он активно использовался как вектор доставки вредоносного ПО: злоумышленники маскировали исполняемые файлы под безобидные файлы фрагментов, скрытые расширения которых затрудняли обнаружение.
Безопасность и защита
РИСК: HIGHSHS - это признанное расширение для вредоносного ПО. Поскольку Windows всегда скрывала суффикс .shs, злоумышленники маскировали исполняемые файлы под безобидные (например, «report.doc.shs»), и двойной клик запускал встроенный код - эта техника использовалась червем Stages / Life Stages в 2000-х годах. Microsoft отключила формат в Windows XP SP2 по этой причине. Правило: никогда не нажимайте дважды и не «запускайте» полученный .shs, особенно по электронной почте. Если необходимо изучить его, делайте это на изолированной виртуальной машине и только проверяйте потоки OLE с помощью инструментов анализа (7-Zip / просмотрщик структурированных хранилищ) - никогда не выполняйте его.
Детали формата
в двух словахПрограммы, открывающие файлы SHS
Windows3 apps
Windows 9x / 2000 / XP pre-SP2 (legacy, in a VM)
Встроенная В устаревшей системе с зарегистрированной библиотекой shscrap.dll двойной клик вставляет фрагмент обратно в исходное приложение - безопасно только внутри изолированной виртуальной машины с ЗАВЕДОМО чистым файлом.
7-Zip (inspect only)
Открытый код Откройте .shs как составной файл OLE для просмотра внутренних потоков БЕЗ его исполнения - подходит для криминалистического анализа, а не для обычного открытия.
SSView / OLE viewer (forensic)
Бесплатно Используйте просмотрщик структурированных хранилищ (например, MiTeC Structured Storage Viewer) для безопасного просмотра потоков OLE и извлечения встроенных данных. Технические подробности
глубокая спецификация| Формат контейнера | OLE2 Compound File Binary (CFB) - тот же низкоуровневый контейнер, что и в устаревших форматах Office |
| Сигнатура (Magic bytes) | D0 CF 11 E0 A1 B1 1A E1 по смещению 0 (стандартная сигнатура OLE2 CFB) |
| Разработчик | Microsoft |
| MIME-тип | application/octet-stream |
| Компонент-обработчик | shscrap.dll - Windows Shell Scrap Object Handler; регистрировал расширение оболочки .shs в ОС |
| Поддержка ОС | Windows 95 до Windows XP до SP2; отключено по умолчанию в XP SP2 (2004), отсутствует в Vista и более поздних версиях |
| Метод создания | Перетаскивание (Drag-and-drop) выделенного фрагмента документа на рабочий стол или в папку проводника |
| Метод использования | Перетаскивание только обратно в совместимый документ Office; прямое открытие или двойной клик не поддерживались |
| Видимость расширения | Принудительно скрыто оболочкой независимо от пользовательской настройки «показывать расширения файлов» - поведение, уникальное для .shs |
| Тип содержимого | Сериализованный объект OLE, содержащий фрагмент документа (текст, ячейки таблицы или другой OLE-совместимый контент) |
| Платформа | Только Windows; поддержка macOS или Linux никогда не предоставлялась |
| Риск безопасности | Возможность исполнения встроенного кода в сочетании с принудительным скрытием расширения сделала .shs задокументированным вектором доставки вирусов |
| Внутренняя структура | Использует потоки составных документов OLE2; данные фрагмента хранятся в именованных потоках внутри контейнера CFB |
| Криминалистический анализ | 7-Zip и просмотрщики OLE, такие как SSView, могут открывать файлы .shs для проверки внутренних потоков без их запуска |
| Выпущен | Windows 95 (1995); shscrap.dll removed/disabled by default from Windows XP SP2 (2004) onward - format effectively dead |
Конвертации SHS
Вопросы и ответы сообщества
спрошено пользователямиВопросов пока нет - станьте первым, кто спросит о файлах SHS.
