Analyzes Windows ShellBag registry artifacts with SBECmd and ShellBags Explorer to reconstruct folder browsing history, detect removable media and network share access, and confirm deleted folder interactions.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
ShellBag 是 Windows 注册表取证痕迹，用于追踪用户通过 Windows 资源管理器与文件夹的交互方式，存储视图设置，如图标大小、窗口位置、排序顺序和视图模式。从取证角度看，ShellBag 能提供文件夹访问的确切证据——即便文件夹已不存在于系统中。当用户通过 Windows 资源管理器、打开/保存对话框或控制面板浏览到某文件夹时，用户注册表配置单元中会创建或更新一条 ShellBag 条目。这些条目在文件夹删除、驱动器断开连接甚至跨用户配置文件重置后仍会保留，使其在证明用户导航到本地驱动器、USB 设备、网络共享或 zip 压缩包中的特定目录时极具价值。
Analyzes Windows Shellbag artifacts to reconstruct folder browsing, detect removable media/network shares access, and track deleted directories using SBECmd and ShellBags Explorer.
Analyzes Windows Shellbag registry artifacts to reconstruct folder browsing, detect removable media/network shares access, and prove post-deletion directory interactions using SBECmd and ShellBags Explorer.
Extracts and analyzes Windows registry hives from forensic images to uncover user activity, installed software, autostarts, USB devices, and intrusion evidence using RegRipper and python-registry.
Share bugs, ideas, or general feedback.
ShellBag 是 Windows 注册表取证痕迹，用于追踪用户通过 Windows 资源管理器与文件夹的交互方式，存储视图设置，如图标大小、窗口位置、排序顺序和视图模式。从取证角度看，ShellBag 能提供文件夹访问的确切证据——即便文件夹已不存在于系统中。当用户通过 Windows 资源管理器、打开/保存对话框或控制面板浏览到某文件夹时，用户注册表配置单元中会创建或更新一条 ShellBag 条目。这些条目在文件夹删除、驱动器断开连接甚至跨用户配置文件重置后仍会保留，使其在证明用户导航到本地驱动器、USB 设备、网络共享或 zip 压缩包中的特定目录时极具价值。
| 配置单元 | 键路径 | 存储内容 |
|---|---|---|
| NTUSER.DAT | Software\Microsoft\Windows\Shell\BagMRU | 文件夹层级树 |
| NTUSER.DAT | Software\Microsoft\Windows\Shell\Bags | 每个文件夹的视图设置 |
| UsrClass.dat | Local Settings\Software\Microsoft\Windows\Shell\BagMRU | 桌面/资源管理器 Shell |
| UsrClass.dat | Local Settings\Software\Microsoft\Windows\Shell\Bags | 附加视图设置 |
BagMRU 键包含一个以数字编号的子键层级树，表示目录结构。每个子键值包含一个 Shell Item（SHITEMID）二进制 blob，对文件夹标识进行编码：
每个 Shell Item 包含：
# 从注册表配置单元目录解析 ShellBag
SBECmd.exe -d "C:\Evidence\Registry" --csv C:\Output --csvf shellbags.csv
# 从实时系统解析（需要管理员权限）
SBECmd.exe --live --csv C:\Output --csvf live_shellbags.csv
# 关键输出列：
# AbsolutePath - 完整重建路径
# CreatedOn - 文件夹首次被浏览的时间
# ModifiedOn - 视图设置最后更改时间
# AccessedOn - 最后访问时间戳
# ShellType - Shell 项目类型（Directory、Drive、Network 等）
# Value - 原始 Shell 项目数据
# 启动 GUI 工具进行交互式分析
ShellBagsExplorer.exe
# 加载注册表配置单元：File > Load Hive
# 在树形结构中导航查看文件夹层级
# 右键点击条目查看详细 Shell 项目属性
Shellbag Path: My Computer\E:\Confidential\Project_Files
ShellType: Directory (on removable volume)
CreatedOn: 2025-03-15 09:30:00 UTC
这证明用户通过 Windows 资源管理器导航到了 E:\Confidential\Project_Files，
即使 USB 驱动器已不再连接。
卷盘符 E: 和目录时间戳可与 USBSTOR 和 MountPoints2 注册表条目关联。
Shellbag Path: \\FileServer01\Finance\Q4_Reports
ShellType: Network Location
AccessedOn: 2025-02-20 14:15:00 UTC
这证明用户浏览了网络共享，即使该共享已停用或访问权限已撤销。
Shellbag Path: C:\Users\suspect\Documents\Exfiltration_Staging
ShellType: Directory
CreatedOn: 2025-01-10 08:00:00 UTC
即使 C:\Users\suspect\Documents\Exfiltration_Staging 已不存在，
ShellBag 条目仍证明用户创建并导航到了该文件夹。