Skip to content
ShellBagsparser
Blog

Series

Les fondamentaux des ShellBags

5 posts in this series. Read them in order or jump to any one.

  1. ShellBags : le guide complet de l'analyse forensique

    Ce que sont les ShellBags, où Windows les stocke, ce que prouvent BagMRU et les shell items, comment lire leurs horodatages et où l'artefact trompe l'analyste.

  2. Où sont stockés les ShellBags ? Emplacements et collecte

    Emplacements des ShellBags dans UsrClass.dat et NTUSER.DAT, de Windows XP à 11, et collecte des ruches verrouillées avec leurs journaux de transactions.

  3. Horodatages des ShellBags : ce que signifie chaque date

    LastWrite de clé, dernière interaction dérivée du MRUListEx, dates FAT embarquées : ce que prouve chaque horodatage des ShellBags, exemple et pièges à éviter.

  4. Format des shell items : dans une entrée ShellBags

    Les shell items des valeurs BagMRU octet par octet : types de classe, items file entry, bloc 0xBEEF0004, références MFT et items réseau, pour l'analyste.

  5. ShellBags sous Windows 11, 10, 7 et XP : ce qui change

    Les ShellBags de Windows XP, Vista, 7, 8.1, 10 et 11 : emplacement des ruches, versions du bloc d'extension, dossiers racines et archives natives.

All posts in this series