http://it-forensik.fiw.hs-wismar.de/api.php?action=feedcontributions&feedformat=atom&user=St221442 2026-10-31T10:36:59Z Benutzerbeiträge MediaWiki 1.43.11 http://it-forensik.fiw.hs-wismar.de/index.php?title=Shellbags&diff=2832 2023-07-13T18:01:00Z

<p>St221442: Die Seite wurde neu angelegt: „Shellbags sind Einträge in der Windows-Registry die Informationen über die Darstellungs-Einstellungen der Benutzeroberfläche beim Durchsuchen von Dateien un…“</p> <hr /> <div>Shellbags sind Einträge in der Windows-Registry die Informationen über die Darstellungs-Einstellungen der Benutzeroberfläche beim Durchsuchen von Dateien und Ordnern speichern. Diese werden verwendet, damit einmal gespeicherte Ansichtspräferenzen beim nächsten Aufruf erhalten bleiben. Dies kann beispielsweise die Art der Darstellung von Dateien in einem Ordner sein. Shellbags sind user-spezifisch.<br /> <br /> == Speicherorte == <br /> <br /> Shellbags werden je nach Windows-Version und Art der Shellbags an verschiedenen Orten in der Windows Registry gespeichert. Diese sind vor allem: <br /> <br /> * USRCLASS.DAT\Local Settings\Software\Microsoft\Windows\Shell\BagMRU <br /> * USRCLASS.DAT\Local Settings\Software\Microsoft\Windows\Shell\Bags <br /> * NTUSER.DAT\Software\Microsoft\Windows\Shell\BagMRU <br /> * NTUSER.DAT\Software\Microsoft\Windows\Shell\Bags <br /> <br /> == Forensische Analyse == <br /> <br /> [[Datei:Shellbags in AXIOM Examine.png|mini|rechts]]<br /> <br /> Über Shellbags lassen sich unter anderem Datei- und Nutzeraktivitäten (wie zum Beispiel zuletzt geöffnete Ordner, Ordner- und Suchverläufe) rekonstruieren. Insbesondere, da Shellbags auch nach Löschen der Original-Daten erhalten bleiben, können diese wertvolle Informationen in forensischen Analysen liefern. Die Analyse kann dabei entweder manuell über die Windows-Registry, mittels spezieller „Shellbag-Browser“ oder allgemeinen forensischen Analyse-Tools (z.B. Magnet AXIOM) erfolgen. <br /> <br /> == Shellbags unter Linux == <br /> <br /> Shellbags existieren nur unter Microsoft Windows Betriebsystemen. Es existieren allerdings Ansätze ähnliche Informationen auch unter Linux-basierenden Betriebsystemen zu erlangen, wie zum Beispiel „Gnome Virtual File System (GVFS)“ Metadaten.<br /> <br /> == Quellen ==<br /> # Fundamentals of Digital Forensics: Theory, Methods, and Real-Life Applications, Joakim Kävrestad (2020), S.34 <br /> # Forensische Analyse von Windows Shellbags: https://www.magnetforensics.com/de/blog/forensische-analyse-von-windows-shellbags/ <br /> # Using shellbag information to reconstruct user activities, Zhu et al., 2009 (https://doi.org/10.1016/j.diin.2009.06.009) <br /> # GVFS metadata: Shellbags for Linux, Christopher John Lees, 2016 (https://doi.org/10.1016/j.diin.2015.11.001)</div>

St221442 http://it-forensik.fiw.hs-wismar.de/index.php?title=Datei:Shellbags_in_AXIOM_Examine.png&diff=2831 2023-07-13T17:56:09Z

<p>St221442: </p> <hr /> <div>Shellbags in AXIOM Examine</div>

St221442