Vad är filformatet SHS?
En .shs-fil innehåller ett fragment av ett Microsoft Word- eller Excel-dokument i form av ett inbäddat objekt, skapat och använt av äldre Windows-system. Formatet bygger på containern OLE2 Compound File Binary - samma binära struktur som används av äldre .doc och .xls-filer - identifierad av dess magic bytes D0 CF 11 E0 vid offset 0. Den Windows-komponent som ansvarar för att läsa och skriva .shs-filer är shscrap.dll, Shell Scrap Object Handler. Denna hanterare levererades med Windows 95 till och med Windows XP före SP2; Microsoft inaktiverade den som standard i Windows XP SP2 (2004) och tog bort den från senare utgåvor, vilket gjorde formatet i praktiken föråldrat.
.shs-filer genereras genom att dra och släppa ett markerat fragment av ett Office-dokument till skrivbordet eller i en mapp. Shell Scrap Object Handler (shscrap) fångar markeringen och sparar den som ett scrap-objekt som senare kan dras tillbaka till ett kompatibelt dokument. Kritiskt nog dolde Windows filändelsen .shs som standard oavsett användarens mappinställningar - till skillnad från de flesta filtyper visades den inte även om man valde «visa filnamnstillägg». En användare kunde inte öppna en .shs-fil direkt; den kunde bara klistras in i ett öppet dokument. Eftersom .shs är ett körbart format utnyttjades det aktivt som en spridningsväg för skadlig kod: angripare maskerade körbara filer som harmlösa scrap-filer vars dolda filändelser gjorde upptäckt svår.
Säkerhet & trygghet
RISK: HIGHSHS är en erkänd filändelse för skadlig kod. Eftersom Windows alltid dolde suffixet .shs, maskerade angripare körbara filer som oskyldiga filer (t.ex. «rapport.doc.shs»), och dubbelklickning körde inbäddad kod - tekniken bakom masken Stages / Life Stages runt år 2000. Microsoft inaktiverade formatet från Windows XP SP2 av denna anledning. Regel: dubbelklicka eller «kör» aldrig en .shs du har fått, särskilt via e-post. Om du måste undersöka en, gör det på en isolerad VM och inspektera endast OLE-strömmarna med en forensisk visare (7-Zip / structured-storage-visare) - kör den aldrig.
Formatdetaljer
i ett nötskalProgram som öppnar SHS-filer
Windows3 apps
Windows 9x / 2000 / XP pre-SP2 (legacy, in a VM)
Inbyggd På ett äldre system med shscrap.dll registrerad infogar dubbelklickning scrap-objektet i dess källapplikation - endast säkert i en isolerad VM med en fil som man VET är godkänd.
7-Zip (inspect only)
Öppen källkod Öppna .shs som en OLE-sammansatt fil för att visa interna strömmar UTAN att köra den - för forensisk inspektion, inte normal öppning.
SSView / OLE viewer (forensic)
Gratis Använd en structured-storage-visare (t.ex. MiTeC Structured Storage Viewer) för att bläddra i OLE-strömmarna säkert och extrahera inbäddad data. Tekniska detaljer
djup specifikation| Containerformat | OLE2 Compound File Binary (CFB) - samma lågnivåcontainer som används av äldre Office-format |
| Magic bytes | D0 CF 11 E0 A1 B1 1A E1 vid offset 0 (standard OLE2 CFB-signatur) |
| Utvecklare | Microsoft |
| MIME-typ | application/octet-stream |
| Hanterarkomponent | shscrap.dll - Windows Shell Scrap Object Handler; registrerade .shs-skaltillägget i operativsystemet |
| OS-stöd | Windows 95 till och med Windows XP före SP2; inaktiverat som standard från XP SP2 (2004), saknas i Vista och senare |
| Skapandemetod | Dra-och-släpp av ett markerat dokumentfragment till skrivbordet eller i en Explorer-mapp |
| Användningsmetod | Dra-och-släpp endast tillbaka till ett kompatibelt Office-dokument; ingen direkt öppning eller dubbelklickning stöddes |
| Synlighet för filändelse | Tvingat dold av skalet oavsett användarens mappinställning för «visa filnamnstillägg» - ett beteende unikt för .shs |
| Innehållstyp | Serialiserat OLE-objekt som bäddar in ett dokumentfragment (text, kalkylbladsceller eller annat OLE-kompatibelt innehåll) |
| Plattform | Endast Windows; inget stöd för macOS eller Linux har någonsin tillhandahållits |
| Säkerhetsrisk | Förmåga till körbar nyttolast i kombination med tvingad dold filändelse gjorde .shs till en dokumenterad vektor för skadlig kod och virus |
| Intern struktur | Använder OLE2-sammansatta dokumentströmmar internt; scrap-data lagras i namngivna strömmar i CFB-containern |
| Forensisk inspektion | 7-Zip och OLE-visare som SSView kan öppna .shs-filer för att inspektera interna strömmar utan att köra dem |
| Släppt | Windows 95 (1995); shscrap.dll removed/disabled by default from Windows XP SP2 (2004) onward - format effectively dead |
SHS-konverteringar
Frågor & svar
frågat av användareInga frågor än - bli den första att fråga om SHS-filer.
