Vad är filformatet SHD?
En .shd-fil är en Windows Print Spooler shadow file - en tillfällig binär metadatapost som skapas av tjänsten Windows Print Spooler (spoolsv.exe) när ett utskriftsjobb skickas. Varje .shd-fil är parad med en .spl-fil med samma basnamn; .spl-filen innehåller själva spool-datan (EMF eller RAW-utskriftsström), medan .shd lagrar jobbets beskrivande metadata.
Skuggfilen registrerar: ID för utskriftsjobb, dokumentnamn, avsändande användarnamn, källmaskinens namn, målskrivarens namn, datatyp (RAW eller EMF), utskriftsprocessor, portnamn, tidsstämpel för inskickande, sidantal, jobbets prioritet och säkerhetsbeskrivning. Denna metadata gör det möjligt för spoolern att rekonstruera och återuppta avbrutna jobb efter en systemomstart.
Båda filerna skrivs till C:\Windows\System32\spool\PRINTERS\ och raderas normalt när utskriften är klar. Kvarlämnade .shd-filer efter en krasch eller ett låst jobb kan göra att utskriftskön fastnar; att radera dem (tillsammans med deras parade .spl-filer) medan Spooler-tjänsten är stoppad rensar kön.
Formatet har varit en del av Windows sedan NT 3.1 (1993) och är officiellt odokumenterat av Microsoft, även om den interna strukturen har bakåtutvecklats och dokumenterats av communityn. Forensiskt är .shd-filer värdefulla eftersom de bevarar användarnamn, dokumentnamn, målskrivare och exakt tidsstämpel även efter att utskriften slutförts och filerna raderats.
Ett versionsord vid offset 2 identifierar Windows-eran: 0x0200 för Windows 2000, 0x0300 för Windows XP och senare.
Säkerhet & trygghet
RISK: LOWSHD-filer skapas av själva operativsystemet Windows och utgör ingen direkt risk för skadlig kod. De avslöjar dock känslig metadata (användarnamn, dokumentnamn, tidsstämplar) och är forensiskt signifikanta. Angripare med SYSTEM-åtkomst som komprometterar spoolern kan utnyttja hanteringen av SHD/SPL - en klass av sårbarheter kända sedan Stuxnet-eran (PrintNightmare och relaterade LNK/CPL-exploater utnyttjar spooler-mappen). Användare bör inte ladda ner eller köra filer som utger sig för att vara SHD-filer från externa källor.
Formatdetaljer
i ett nötskalProgram som öppnar SHD-filer
Windows2 apps
Microsoft Windows (Print Spooler)
Inbyggd SHD-filer används internt av spoolsv.exe; det finns ingen användarvänlig «öppna»-åtgärd. För att rensa fastnade jobb: Stoppa Print Spooler-tjänsten → radera SHD+SPL-filer → starta om tjänsten.
WinHex (forensic hex editor)
Betald Öppna SHD-filen i en hex-editor; använd SHD-mallen från github.com/kacos2000/WinHex_Templates för att tolka fälten. Tekniska detaljer
djup specifikation| Kodning | Binär (proprietär, officiellt odokumenterad av Microsoft) |
| Byteordning | Little-endian |
| Magic bytes | FF FF vid offset 0; versionsord vid offset 2 (0x0200 = Windows 2000; 0x0300 = Windows XP och senare) |
| Typisk storlek | 1 KB - 16 KB (endast metadata; ingen utskriftsdata) |
| Struktur | Binärt huvud med fast längd följt av fält med variabel längd: jobb-ID, skrivarnamn, dokumentnamn, användarnamn, maskinnamn, datatyp, drivrutinsnamn, utskriftsprocessor, port, tidsstämpel, sidantal, jobbprioritet, säkerhetsbeskrivning |
| Parad fil | Alltid parad med en .spl-fil med samma basnamn, som innehåller själva spool-datan (EMF eller RAW-utskriftsström) |
| Lagringsplats | C:\Windows\System32\spool\PRINTERS\ (tillfällig; raderas av spoolern när jobbet är klart) |
| Skapande process | spoolsv.exe (Windows Print Spooler-tjänst); skapas när jobb skickas, tas bort vid slutförande |
| Forensiskt värde | Registrerar användarnamn, dokumentnamn, målskrivare och tidsstämpel - användbart för att spåra utskriftsjobb i digital forensik |
| Värden för datatypsfält | RAW (skrivarnativ data) eller EMF (Enhanced Metafile, enhetsoberoende format) |
| Plattform | Windows NT 3.1 till och med Windows 11 |
| Släppt | Windows NT 3.1 (1993) |
| Senaste version | Current across all Windows NT/10/11 versions |
| Specifikation | www.codeproject.com |
SHD-konverteringar
Frågor & svar
frågat av användareInga frågor än - bli den första att fråga om SHD-filer.
