Alternativen zu ShellBags Explorer: SBECmd, RegRipper & Co.
Ein fairer Vergleich von ShellBags-Werkzeugen: ShellBags Explorer, SBECmd, RegRipper, Velociraptor, shellbags.py, Volatility und ein Browser-Parser.
Beiträge mit Tag: #dfir
ShellBags: Grenzen und Anti-Forensik im Überblick
Was ShellBags nicht belegen, was nie welche erzeugt, wie PrivaZer oder CCleaner sie entfernen und welche Spuren Löschung und Manipulation hinterlassen.
Gelöschte Ordner mit ShellBags nachweisen
Mit ShellBags belegen, dass ein gelöschter oder umbenannter Ordner existierte: Pfad, eingebettete Zeiten, MFT-Eintrag und Sequenz, bestätigt über $MFT und USN.
ShellBags und ZIP-Dateien: Archivnavigation nachweisen
Wie ShellBags das Navigieren in ZIP-Dateien und anderen Archiven im Explorer aufzeichnen, was die Items im Archiv enthalten und wie man Archivpfade deutet.
ShellBags unter Windows 11, 10, 7 und XP: was sich ändert
Wie sich ShellBags zwischen Windows XP, Vista, 7, 8.1, 10 und 11 unterscheiden: Hive-Speicherorte, Erweiterungsblock-Versionen, Root-Ordner, native Archive.
ShellBags vs. LNK-Dateien, Jump Lists und RecentDocs
Vier Artefakte der Benutzeraktivität im Vergleich: was ShellBags, LNK-Dateien, Jump Lists und RecentDocs aufzeichnen, was sie belegen und wo sie blind sind.
Shell-Item-Format erklärt: im Inneren eines ShellBags
Die Shell-Items in BagMRU-Werten Byte für Byte: Klassentypen, File-Entry-Items, der 0xBEEF0004-Block, MFT-Referenzen und Netzwerk-Items für die Forensik.
ShellBags-Zeitstempel erklärt: was jede Zeit bedeutet
Schlüssel-LastWrite, aus MRUListEx abgeleitete letzte Interaktion und eingebettete FAT-Zeiten: was jeder ShellBags-Zeitstempel belegt, mit Beispiel und Fallen.
ShellBags online auswerten mit einem Browser-Parser
Schritt für Schritt: UsrClass.dat und NTUSER.DAT im Browser auswerten, Baum und Zeitachse lesen, markierte Ordner sichten und als CSV oder JSON exportieren.
Speicherort der ShellBags: Registry-Pfade und Sicherung
ShellBags-Speicherorte in UsrClass.dat und NTUSER.DAT von Windows XP bis 11 und wie Sie gesperrte Hives samt Transaktionsprotokollen pro Benutzer sichern.
ShellBags Forensik: der vollständige Leitfaden
Was ShellBags sind, wo Windows sie speichert, was BagMRU und Shell-Items beweisen, wie man ihre Zeitstempel liest und wo das Artefakt in die Irre führt.