Análisis forense de ShellBags: la guía completa
Qué son los ShellBags, dónde los guarda Windows, qué prueban BagMRU y los shell items, cómo leer sus fechas y dónde engaña el artefacto al analista.
Series
Fundamentos de ShellBags
5 posts in this series. Read them in order or jump to any one.
- Análisis forense de ShellBags: la guía completa
Qué son los ShellBags, dónde los guarda Windows, qué prueban BagMRU y los shell items, cómo leer sus fechas y dónde engaña el artefacto al analista.
- ¿Dónde se guardan los ShellBags? Ubicación y adquisición
Ubicación de los ShellBags en UsrClass.dat y NTUSER.DAT de Windows XP a 11, y cómo adquirir los hives bloqueados con sus registros de transacciones.
- Marcas de tiempo de ShellBags: qué significa cada fecha
LastWrite de clave, última interacción derivada del MRUListEx y fechas FAT incrustadas: qué prueba cada fecha de los ShellBags, con ejemplo y trampas.
- Formato de los shell items: dentro de un ShellBag
Los shell items de los valores BagMRU byte a byte: tipos de clase, items file entry, bloque 0xBEEF0004, referencias MFT e items de red, para analistas.
- ShellBags en Windows 11, 10, 7 y XP: qué ha cambiado
Diferencias de los ShellBags entre Windows XP, Vista, 7, 8.1, 10 y 11: ubicación de hives, versiones del bloque de extensión y carpetas raíz.
All posts in this series
¿Dónde se guardan los ShellBags? Ubicación y adquisición
Ubicación de los ShellBags en UsrClass.dat y NTUSER.DAT de Windows XP a 11, y cómo adquirir los hives bloqueados con sus registros de transacciones.
Marcas de tiempo de ShellBags: qué significa cada fecha
LastWrite de clave, última interacción derivada del MRUListEx y fechas FAT incrustadas: qué prueba cada fecha de los ShellBags, con ejemplo y trampas.
Formato de los shell items: dentro de un ShellBag
Los shell items de los valores BagMRU byte a byte: tipos de clase, items file entry, bloque 0xBEEF0004, referencias MFT e items de red, para analistas.
ShellBags en Windows 11, 10, 7 y XP: qué ha cambiado
Diferencias de los ShellBags entre Windows XP, Vista, 7, 8.1, 10 y 11: ubicación de hives, versiones del bloque de extensión y carpetas raíz.