ShellBags Explorer: анализ папок Windows — полное руководство 2026

<h2 id="sozdanie-rabochey-direktorii">Создание рабочей директории</h2>

$workDir = "C:\Forensics\ShellBagsExplorer"

New-Item -ItemType Directory -Force -Path $workDir



<h2 id="skachivanie-shellbags-explorer">Скачивание ShellBags Explorer</h2>

<h2 id="instrument-dostupen-na-ofitsialnom-sayte-ili-repozitoriyah">Инструмент доступен на официальном сайте или репозиториях</h2>

<h2 id="posle-skachivaniya-raspakuyte-arhiv-v-rabochuyu-direktoriyu">После скачивания распакуйте архив в рабочую директорию</h2>




<h2 id="proverka-nalichiya-faylov">Проверка наличия файлов</h2>

$exePath = "$workDir\ShellBagsExplorer.exe"

if (Test-Path $exePath) {

    Write-Host "✓ ShellBags Explorer готов к использованию"

    Write-Host "  Путь: $exePath"

} else {

    Write-Host "✗ ShellBags Explorer не найден"

}

<h2 id="proverka-operatsionnoy-sistemy">Проверка операционной системы</h2>

$os = Get-CimInstance Win32_OperatingSystem

Write-Host "Операционная система: $($os.Caption)"

Write-Host "Версия: $($os.Version)"



<h2 id="shellbags-explorer-rabotaet-na-windows-7-i-novee">ShellBags Explorer работает на Windows 7 и новее</h2>

$version = [System.Environment]::OSVersion.Version

if ($version.Major -ge 6) {

    Write-Host "✓ Система совместима"

} else {

    Write-Host "✗ Требуется Windows 7 или новее"

}



<h2 id="proverka-prav-dostupa">Проверка прав доступа</h2>

$isAdmin = ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)

if ($isAdmin) {

    Write-Host "✓ Запущено с правами администратора"

} else {

    Write-Host "⚠ Для полного доступа к реестру могут потребоваться права администратора"

}

<h2 id="sozdanie-struktury-dlya-raboty">Создание структуры для работы</h2>

$baseDir = "C:\Forensics\ShellBagsAnalysis"

$dirs = @(

    "$baseDir\RegistryFiles",

    "$baseDir\Exports",

    "$baseDir\Reports",

    "$baseDir\Backups"

)



foreach ($dir in $dirs) {

    New-Item -ItemType Directory -Force -Path $dir | Out-Null

    Write-Host "Создана директория: $dir"

}



Write-Host "`nРабочая среда готова: $baseDir"

<h2 id="dlya-analiza-obrazov-diskov-neobhodimo">Для анализа образов дисков необходимо:</h2>

<h2 id="1-izvlech-fayly-reestra-iz-obraza">1. Извлечь файлы реестра из образа</h2>

<h2 id="2-smontirovat-obraz-ili-ispolzovat-spetsializirovannye-instrumenty">2. Смонтировать образ или использовать специализированные инструменты</h2>




<h2 id="primer-struktury-dlya-raboty-s-obrazami">Пример структуры для работы с образами</h2>

$imageDir = "C:\Forensics\Images\Case001"

$registryDir = "$imageDir\Registry"



<h2 id="fayly-reestra-kotorye-nuzhno-izvlech">Файлы реестра, которые нужно извлечь:</h2>

$registryFiles = @(

    "SYSTEM",

    "NTUSER.DAT",

    "UsrClass.dat"

)



Write-Host "Файлы реестра для анализа ShellBags:"

foreach ($file in $registryFiles) {

    Write-Host "  - $file"

}

<h2 id="zapusk-shellbags-explorer">Запуск ShellBags Explorer</h2>

$exePath = "C:\Forensics\ShellBagsExplorer\ShellBagsExplorer.exe"



if (Test-Path $exePath) {

    # Запуск приложения

    Start-Process -FilePath $exePath -Wait:$false

    

    Write-Host "ShellBags Explorer запущен"

    Write-Host "Проверьте интерфейс и доступные функции"

} else {

    Write-Host "Ошибка: ShellBags Explorer не найден по пути: $exePath"

}

<h2 id="sozdanie-konfiguratsionnogo-fayla">Создание конфигурационного файла</h2>

$config = @{

    WorkDirectory = "C:\Forensics\ShellBagsAnalysis"

    RegistryPath = "C:\Forensics\Images\Case001\Registry"

    ExportFormat = "CSV"

    IncludeDeleted = $true

    IncludeTimestamps = $true

}



$configPath = "C:\Forensics\ShellBagsAnalysis\config.json"

$config | ConvertTo-Json | Out-File -FilePath $configPath -Encoding UTF8



Write-Host "Конфигурация сохранена: $configPath"

┌─────────────────────────────────────────┐

│ Меню: File, View, Tools, Help          │

├─────────────────────────────────────────┤

│ Панель инструментов                     │

├──────────────┬──────────────────────────┤

│ Навигация    │ Список записей ShellBags │

│ - Registry   │ - Путь к папке           │

│ - File       │ - Дата модификации       │

│              │ - Размер окна            │

│              │ - Позиция                │

├──────────────┴──────────────────────────┤

│ Детальная информация о записи           │

│ - Полный путь                            │

│ - Временные метки                        │

│ - Метаданные                             │

└─────────────────────────────────────────┘

-> Open Registry

  - Открытие файла реестра (SYSTEM, NTUSER.DAT, UsrClass.dat)

  - Выбор пользователя для анализа

  - Загрузка данных ShellBags



File -> Export

  - Экспорт в CSV

  - Экспорт в XML

  - Экспорт в JSON

  - Экспорт отчета



File -> Save Report

  - Сохранение отчета в различных форматах

-> Show Deleted

  - Отображение удаленных записей

  - Восстановление путей к удаленным папкам



View -> Group By

  - Группировка по пользователю

  - Группировка по дате

  - Группировка по типу устройства



View -> Sort By

  - Сортировка по дате

  - Сортировка по пути

  - Сортировка по размеру окна

Фильтры позволяют:

- Фильтровать по пути (содержит, начинается с, заканчивается на)

- Фильтровать по дате (диапазон дат)

- Фильтровать по типу (локальные, сетевые, USB)

- Фильтровать по пользователю

- Комбинировать несколько фильтров

<h2 id="programmnaya-filtratsiya-cherez-eksport-i-obrabotku">Программная фильтрация (через экспорт и обработку)</h2>

<h2 id="v-interfeyse-ispolzuyte-panel-filtrov-dlya">В интерфейсе используйте панель фильтров для:</h2>

<h2 id="poiska-konkretnyh-putey">- Поиска конкретных путей</h2>

<h2 id="filtratsii-po-datam">- Фильтрации по датам</h2>

<h2 id="vybora-tipa-ustroystv">- Выбора типа устройств</h2>

При выборе записи отображается:

- Полный путь к папке

- Дата последнего доступа

- Дата модификации

- Размер окна (ширина x высота)

- Позиция окна (X, Y)

- Вид отображения (детали, список, иконки)

- Тип устройства (локальный диск, сетевой, USB)

- GUID устройства (для USB)

- Серийный номер (для USB)

-> Export -> CSV

  - Экспорт всех записей в CSV формат

  - Выбор полей для экспорта

  - Настройка разделителей



Tools -> Export -> XML

  - Экспорт в структурированный XML

  - Сохранение иерархии данных



Tools -> Export -> Report

  - Создание детального отчета

  - Включение скриншотов

  - Добавление метаданных

Поиск поддерживает:

- Поиск по пути (частичное совпадение)

- Поиск по GUID устройства

- Поиск по серийному номеру

- Регулярные выражения (в некоторых версиях)



Использование:

1. Введите поисковый запрос в поле поиска

2. Выберите тип поиска

3. Нажмите Enter или кнопку поиска

4. Результаты отображаются в списке

+O - Открыть файл реестра

Ctrl+S - Сохранить отчет

Ctrl+F - Поиск

Ctrl+E - Экспорт

F5 - Обновить данные

Ctrl+A - Выбрать все записи

Delete - Удалить выбранную запись из списка (только из отображения)

\Software\Microsoft\Windows\Shell\Bags

  - Содержит информацию о папках для текущего пользователя



HKEY_CURRENT_USER\Software\Microsoft\Windows\Shell\BagMRU

  - Порядок открытия папок (Most Recently Used)



HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\Bags

  - Дополнительная информация (Windows Vista и новее)



HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell\BagMRU

  - Дополнительный BagMRU (Windows Vista и новее)

<h2 id="prosmotr-struktury-bagmru-cherez-powershell">Просмотр структуры BagMRU через PowerShell</h2>

$bagMRUPath = "HKCU:\Software\Microsoft\Windows\Shell\BagMRU"



if (Test-Path $bagMRUPath) {

    # Получение подразделов

    $subKeys = Get-ChildItem -Path $bagMRUPath -Recurse

    

    Write-Host "Найдено подразделов BagMRU: $($subKeys.Count)"

    

    foreach ($key in $subKeys) {

        Write-Host "`nРаздел: $($key.PSPath)"

        

        # Получение значений

        $values = Get-ItemProperty -Path $key.PSPath -ErrorAction SilentlyContinue

        if ($values) {

            Write-Host "  Значений: $($values.PSObject.Properties.Count)"

        }

    }

} else {

    Write-Host "Раздел BagMRU не найден"

}

<h2 id="prosmotr-struktury-bags">Просмотр структуры Bags</h2>

$bagsPath = "HKCU:\Software\Microsoft\Windows\Shell\Bags"



if (Test-Path $bagsPath) {

    $bagKeys = Get-ChildItem -Path $bagsPath -Recurse

    

    Write-Host "Найдено записей Bags: $($bagKeys.Count)"

    

    # Анализ структуры

    foreach ($key in $bagKeys) {

        $props = Get-ItemProperty -Path $key.PSPath -ErrorAction SilentlyContinue

        

        if ($props) {

            # Типичные свойства в Bags

            if ($props.ItemPos) {

                Write-Host "  Позиция: $($props.ItemPos)"

            }

            if ($props.Width) {

                Write-Host "  Размер окна: $($props.Width) x $($props.Height)"

            }

        }

    }

}

хранятся в специальном бинарном формате:

- Заголовок с типом записи

- Данные о пути (может быть закодирован)

- Метаданные (размеры, позиции)

- Временные метки

- Информация об устройстве



Структура может варьироваться в зависимости от:

- Версии Windows

- Типа устройства (локальный, сетевой, USB)

- Длины пути

<h2 id="opredelenie-versii-windows">Определение версии Windows</h2>

$os = Get-CimInstance Win32_OperatingSystem

$version = $os.Version



Write-Host "Версия Windows: $version"



<h2 id="windows-xp">Windows XP</h2>

if ($version -lt "6.0") {

    Write-Host "Windows XP: ShellBags в HKCU\Software\Microsoft\Windows\Shell"

}



<h2 id="windows-vista-7">Windows Vista/7</h2>

if ($version -ge "6.0" -and $version -lt "6.2") {

    Write-Host "Windows Vista/7: Дополнительные разделы в Classes"

}



<h2 id="windows-8-i-novee">Windows 8 и новее</h2>

if ($version -ge "6.2") {

    Write-Host "Windows 8+: Расширенная структура ShellBags"

}

<h2 id="dlya-analiza-obrazov-neobhodimo-izvlech-fayly-reestra">Для анализа образов необходимо извлечь файлы реестра</h2>

<h2 id="tipichnye-raspolozheniya">Типичные расположения:</h2>




<h2 id="system">SYSTEM</h2>

<h2 id="c-windows-system32-config-system">C:\Windows\System32\config\SYSTEM</h2>




<h2 id="ntuser-dat-dlya-kazhdogo-polzovatelya">NTUSER.DAT (для каждого пользователя)</h2>

<h2 id="c-users-username-ntuser-dat">C:\Users\&lt;username&gt;\NTUSER.DAT</h2>




<h2 id="usrclass-dat-windows-vista">UsrClass.dat (Windows Vista+)</h2>

<h2 id="c-users-username-appdata-local-microsoft-windows-usrclass-dat">C:\Users\&lt;username&gt;\AppData\Local\Microsoft\Windows\UsrClass.dat</h2>




<h2 id="posle-izvlecheniya-faylov-ih-mozhno-otkryt-v-shellbags-explorer">После извлечения файлов их можно открыть в ShellBags Explorer</h2>

<h2 id="ili-ispolzovat-regedit-dlya-montirovaniya">или использовать regedit для монтирования</h2>

<h2 id="montirovanie-fayla-reestra">Монтирование файла реестра</h2>

<h2 id="regedit-file-load-hive">regedit -&gt; File -&gt; Load Hive</h2>

<h2 id="vyberite-fayl-ntuser-dat-ili-usrclass-dat">Выберите файл NTUSER.DAT или UsrClass.dat</h2>

<h2 id="ukazhite-imya-dlya-montirovaniya-naprimer-testhive">Укажите имя для монтирования (например, &quot;TestHive&quot;)</h2>




<h2 id="posle-montirovaniya-mozhno-prosmotret">После монтирования можно просмотреть:</h2>

<h2 id="hkey-local-machine-testhive-software-microsoft-windows-shell-bags">HKEY_LOCAL_MACHINE\TestHive\Software\Microsoft\Windows\Shell\Bags</h2>




<h2 id="vazhno-posle-analiza-vypolnite-file-unload-hive">Важно: После анализа выполните File -&gt; Unload Hive</h2>

Процесс загрузки:

1. File -> Open Registry

2. Выбор "Current User Registry"

3. Автоматическое сканирование ShellBags

4. Отображение результатов в списке



Или программно через командную строку (если поддерживается):

ShellBagsExplorer.exe /registry:HKCU

Процесс:

1. File -> Open Registry -> From File

2. Выбор файла (NTUSER.DAT, UsrClass.dat, SYSTEM)

3. Выбор пользователя (если несколько)

4. Загрузка и анализ данных

<h2 id="podgotovka-faylov-reestra-dlya-analiza">Подготовка файлов реестра для анализа</h2>

$registryFiles = @(

    "C:\Forensics\Images\Case001\Registry\NTUSER.DAT",

    "C:\Forensics\Images\Case001\Registry\UsrClass.dat"

)



foreach ($file in $registryFiles) {

    if (Test-Path $file) {

        Write-Host "Файл готов для анализа: $file"

        # Откройте файл в ShellBags Explorer

    } else {

        Write-Host "Файл не найден: $file"

    }

}

После загрузки данных:

1. Просмотр списка всех записей ShellBags

2. Выбор записи для детального просмотра

3. Анализ информации:

   - Полный путь к папке

   - Дата последнего доступа

   - Размеры и позиция окна

   - Тип устройства

Поиск папок:

1. Использование поля поиска

2. Ввод части пути или имени папки

3. Фильтрация результатов

4. Анализ найденных записей



Примеры поисковых запросов:

- "Documents" - поиск всех папок с Documents в пути

- "C:\Users" - поиск папок в пользовательских директориях

- "USB" - поиск записей о USB устройствах

Анализ временных меток:

1. Сортировка по дате модификации

2. Фильтрация по диапазону дат

3. Создание временной линии

4. Поиск аномалий во времени



Использование фильтров:

- View -> Filter -> Date Range

- Выбор начальной и конечной даты

- Применение фильтра

Процесс экспорта:

1. Выбор записей для экспорта (или все записи)

2. File -> Export -> CSV

3. Выбор полей для экспорта

4. Указание пути сохранения

5. Сохранение файла



Экспортируемые поля:

- Путь к папке

- Дата модификации

- Дата доступа

- Размер окна

- Позиция окна

- Тип устройства

- GUID устройства (для USB)

<h2 id="import-eksportirovannyh-dannyh">Импорт экспортированных данных</h2>

$shellbags = Import-Csv -Path "C:\Forensics\ShellBagsAnalysis\Exports\shellbags.csv"



<h2 id="analiz-dannyh">Анализ данных</h2>

Write-Host "Всего записей: $($shellbags.Count)"



<h2 id="gruppirovka-po-tipu-ustroystva">Группировка по типу устройства</h2>

$byDevice = $shellbags | Group-Object -Property "DeviceType"

Write-Host "`nПо типам устройств:"

foreach ($group in $byDevice) {

    Write-Host "  $($group.Name): $($group.Count)"

}



<h2 id="poisk-usb-ustroystv">Поиск USB устройств</h2>

$usbDevices = $shellbags | Where-Object { $_.DeviceType -like "*USB*" }

Write-Host "`nUSB устройств: $($usbDevices.Count)"



<h2 id="analiz-po-datam">Анализ по датам</h2>

$byDate = $shellbags | Group-Object -Property { [DateTime]::Parse($_.ModifiedDate).Date }

Write-Host "`nАктивность по датам:"

$byDate | Sort-Object Name -Descending | Select-Object -First 10 | ForEach-Object {

    Write-Host "  $($_.Name): $($_.Count) записей"

}

<h2 id="sozdanie-vremennoy-linii-iz-eksportirovannyh-dannyh">Создание временной линии из экспортированных данных</h2>

$timeline = $shellbags | Select-Object @{

    Name="Timestamp"

    Expression={[DateTime]::Parse($_.ModifiedDate)}

}, Path, DeviceType | Sort-Object Timestamp



<h2 id="eksport-vremennoy-linii">Экспорт временной линии</h2>

$timeline | Export-Csv -Path "C:\Forensics\ShellBagsAnalysis\Reports\timeline.csv" -NoTypeInformation



Write-Host "Временная линия создана"

Write-Host "Период: $($timeline[0].Timestamp) - $($timeline[-1].Timestamp)"

<h2 id="izvlechenie-faylov-reestra-iz-obraza-cherez-ftk-imager-ili-analogichnye-instrumenty">Извлечение файлов реестра из образа через FTK Imager или аналогичные инструменты</h2>

<h2 id="tipichnye-raspolozheniya-faylov">Типичные расположения файлов:</h2>




$registryPaths = @{

    "SYSTEM" = "C:\Windows\System32\config\SYSTEM"

    "NTUSER.DAT" = "C:\Users\<username>\NTUSER.DAT"

    "UsrClass.dat" = "C:\Users\<username>\AppData\Local\Microsoft\Windows\UsrClass.dat"

    "SAM" = "C:\Windows\System32\config\SAM"

    "SOFTWARE" = "C:\Windows\System32\config\SOFTWARE"

}



Write-Host "Файлы реестра для извлечения:"

foreach ($key in $registryPaths.Keys) {

    Write-Host "  $key : $($registryPaths[$key])"

}

<h2 id="montirovanie-obraza-diska-esli-podderzhivaetsya">Монтирование образа диска (если поддерживается)</h2>

<h2 id="ispolzovanie-osfmount-arsenal-image-mounter-ili-analogichnyh-instrumentov">Использование OSFMount, Arsenal Image Mounter или аналогичных инструментов</h2>




<h2 id="posle-montirovaniya-obraza">После монтирования образа:</h2>

$mountedDrive = "Z:"  # Пример смонтированного образа

$extractPath = "C:\Forensics\Images\Case001\Registry"



<h2 id="kopirovanie-faylov-reestra">Копирование файлов реестра</h2>

$users = Get-ChildItem -Path "$mountedDrive\Users" -Directory



foreach ($user in $users) {

    $username = $user.Name

    $ntuserPath = "$($user.FullName)\NTUSER.DAT"

    $usrclassPath = "$($user.FullName)\AppData\Local\Microsoft\Windows\UsrClass.dat"

    

    if (Test-Path $ntuserPath) {

        $destPath = "$extractPath\$username\NTUSER.DAT"

        New-Item -ItemType Directory -Force -Path (Split-Path $destPath) | Out-Null

        Copy-Item -Path $ntuserPath -Destination $destPath

        Write-Host "Скопирован: $destPath"

    }

    

    if (Test-Path $usrclassPath) {

        $destPath = "$extractPath\$username\UsrClass.dat"

        New-Item -ItemType Directory -Force -Path (Split-Path $destPath) | Out-Null

        Copy-Item -Path $usrclassPath -Destination $destPath

        Write-Host "Скопирован: $destPath"

    }

}

<h2 id="eksport-razdelov-reestra-s-shellbags">Экспорт разделов реестра с ShellBags</h2>

$exportPath = "C:\Forensics\RegistryExports"



<h2 id="eksport-bagmru">Экспорт BagMRU</h2>

reg export "HKCU\Software\Microsoft\Windows\Shell\BagMRU" "$exportPath\BagMRU.reg"



<h2 id="eksport-bags">Экспорт Bags</h2>

reg export "HKCU\Software\Microsoft\Windows\Shell\Bags" "$exportPath\Bags.reg"



<h2 id="eksport-usrclass-esli-dostupen">Экспорт UsrClass (если доступен)</h2>

if (Test-Path "HKCU:\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell") {

    reg export "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\Shell" "$exportPath\Shell_Classes.reg"

}



Write-Host "Экспорт реестра завершен: $exportPath"

<h2 id="protsess-montirovaniya-cherez-regedit">Процесс монтирования через regedit:</h2>

<h2 id="1-zapusk-regedit">1. Запуск regedit</h2>

<h2 id="2-file-load-hive">2. File -&gt; Load Hive</h2>

<h2 id="3-vybor-fayla-ntuser-dat-ili-usrclass-dat">3. Выбор файла NTUSER.DAT или UsrClass.dat</h2>

<h2 id="4-ukazanie-imeni-dlya-montirovaniya">4. Указание имени для монтирования</h2>

<h2 id="5-prosmotr-dannyh-v-hkey-local-machine-imya">5. Просмотр данных в HKEY_LOCAL_MACHINE\&lt;имя&gt;</h2>




<h2 id="posle-analiza">После анализа:</h2>

<h2 id="file-unload-hive">File -&gt; Unload Hive</h2>




Write-Host "Инструкции для монтирования:"

Write-Host "1. Запустите regedit"

Write-Host "2. File -> Load Hive"

Write-Host "3. Выберите файл реестра"

Write-Host "4. Укажите имя для монтирования"

Write-Host "5. После анализа: File -> Unload Hive"

<h2 id="bagmru-soderzhit-informatsiyu-o-poryadke-otkrytiya-papok">BagMRU содержит информацию о порядке открытия папок</h2>

<h2 id="analiz-cherez-shellbags-explorer">Анализ через ShellBags Explorer:</h2>

<h2 id="1-zagruzite-dannye-reestra">1. Загрузите данные реестра</h2>

<h2 id="2-prosmotrite-zapisi-otsortirovannye-po-date">2. Просмотрите записи, отсортированные по дате</h2>

<h2 id="3-analiziruyte-posledovatelnost-otkrytiya">3. Анализируйте последовательность открытия</h2>




<h2 id="eksport-dannyh-dlya-analiza">Экспорт данных для анализа</h2>

<h2 id="file-export-csv">File -&gt; Export -&gt; CSV</h2>

<h2 id="zatem-analiz-cherez-powershell">Затем анализ через PowerShell:</h2>




$shellbags = Import-Csv -Path "shellbags.csv"



<h2 id="sortirovka-po-date">Сортировка по дате</h2>

$sorted = $shellbags | Sort-Object {[DateTime]::Parse($_.ModifiedDate)}



<h2 id="analiz-posledovatelnosti">Анализ последовательности</h2>

Write-Host "Последовательность открытия папок:"

$counter = 1

foreach ($record in $sorted) {

    Write-Host "$counter. $($record.Path) - $($record.ModifiedDate)"

    $counter++

}

<h2 id="poisk-papok-po-imeni-ili-puti">Поиск папок по имени или пути</h2>

$searchTerm = "Documents"

$results = $shellbags | Where-Object { $_.Path -like "*$searchTerm*" }



Write-Host "Найдено записей с '$searchTerm': $($results.Count)"

foreach ($result in $results) {

    Write-Host "  $($result.Path) - $($result.ModifiedDate)"

}



<h2 id="poisk-po-polnomu-puti">Поиск по полному пути</h2>

$fullPath = "C:\Users\Test\Documents"

$exactMatch = $shellbags | Where-Object { $_.Path -eq $fullPath }

<h2 id="poisk-zapisey-o-setevyh-resursah">Поиск записей о сетевых ресурсах</h2>

$networkPaths = $shellbags | Where-Object { 

    $_.Path -like "\\*" -or $_.DeviceType -like "*Network*"

}



Write-Host "Сетевых ресурсов: $($networkPaths.Count)"

foreach ($path in $networkPaths) {

    Write-Host "  $($path.Path) - $($path.ModifiedDate)"

}

В ShellBags Explorer:

1. View -> Show Deleted

2. Включение отображения удаленных записей

3. Анализ восстановленных путей

4. Проверка целостности данных

<h2 id="dlya-glubokogo-analiza-mozhet-potrebovatsya">Для глубокого анализа может потребоваться:</h2>

<h2 id="1-ispolzovanie-instrumentov-analiza-reestra">1. Использование инструментов анализа реестра</h2>

<h2 id="2-poisk-fragmentov-shellbags-v-neraspredelennom-prostranstve">2. Поиск фрагментов ShellBags в нераспределенном пространстве</h2>

<h2 id="3-vosstanovlenie-povrezhdennyh-struktur">3. Восстановление поврежденных структур</h2>




<h2 id="ispolzovanie-spetsializirovannyh-instrumentov">Использование специализированных инструментов:</h2>

<h2 id="registry-explorer">- Registry Explorer</h2>

<h2 id="regripper">- RegRipper</h2>

<h2 id="custom-scripts">- Custom scripts</h2>

<h2 id="sozdanie-detalnoy-vremennoy-linii">Создание детальной временной линии</h2>

$timeline = $shellbags | Select-Object @{

    Name="Date"

    Expression={[DateTime]::Parse($_.ModifiedDate).ToString("yyyy-MM-dd HH:mm:ss")}

}, @{

    Name="Path"

    Expression={$_.Path}

}, @{

    Name="DeviceType"

    Expression={$_.DeviceType}

} | Sort-Object Date



<h2 id="eksport-vremennoy-linii">Экспорт временной линии</h2>

$timeline | Export-Csv -Path "timeline.csv" -NoTypeInformation



<h2 id="analiz-aktivnosti-po-chasam">Анализ активности по часам</h2>

$byHour = $timeline | Group-Object -Property {[DateTime]::Parse($_.Date).Hour}

Write-Host "Активность по часам:"

$byHour | Sort-Object Name | ForEach-Object {

    Write-Host "  $($_.Name):00 - $($_.Count) событий"

}

<h2 id="poisk-massovyh-izmeneniy-vremennyh-metok">Поиск массовых изменений временных меток</h2>

$groupedByDate = $shellbags | Group-Object -Property {[DateTime]::Parse($_.ModifiedDate).Date}



<h2 id="poisk-dat-s-anomalno-bolshim-kolichestvom-zapisey">Поиск дат с аномально большим количеством записей</h2>

$anomalies = $groupedByDate | Where-Object { $_.Count -gt 100 }



Write-Host "Аномальные даты:"

foreach ($anomaly in $anomalies) {

    Write-Host "  $($anomaly.Name): $($anomaly.Count) записей"

}

$os = Get-CimInstance Win32_OperatingSystem

$version = [System.Environment]::OSVersion.Version



Write-Host "Версия Windows: $($os.Caption)"

Write-Host "Версия ядра: $version"



<h2 id="windows-xp">Windows XP</h2>

if ($version.Major -eq 5) {

    Write-Host "Windows XP: ShellBags в HKCU\Software\Microsoft\Windows\Shell"

}



<h2 id="windows-vista-7">Windows Vista/7</h2>

if ($version.Major -eq 6 -and $version.Minor -eq 0) {

    Write-Host "Windows Vista/7: Дополнительные разделы в Classes"

}



<h2 id="windows-8">Windows 8+</h2>

if ($version.Major -eq 6 -and $version.Minor -ge 2) {

    Write-Host "Windows 8+: Расширенная структура"

}



<h2 id="windows-10-11">Windows 10/11</h2>

if ($version.Major -eq 10) {

    Write-Host "Windows 10/11: Современная структура ShellBags"

}

<h2 id="eksport-dannyh-v-formate-dlya-timeline-analizatorov">Экспорт данных в формате для Timeline анализаторов</h2>

$timelineData = $shellbags | Select-Object @{

    Name="Time"

    Expression={[DateTime]::Parse($_.ModifiedDate).ToString("yyyy-MM-dd HH:mm:ss")}

}, @{

    Name="Source"

    Expression={"ShellBags"}

}, @{

    Name="Description"

    Expression={"Folder accessed: $($_.Path)"}

}



$timelineData | Export-Csv -Path "shellbags_timeline.csv" -NoTypeInformation

<h2 id="statisticheskiy-analiz-aktivnosti">Статистический анализ активности</h2>

$stats = @{

    TotalRecords = $shellbags.Count

    UniquePaths = ($shellbags | Select-Object -Unique Path).Count

    DateRange = @{

        Start = ($shellbags | Measure-Object -Property {[DateTime]::Parse($_.ModifiedDate)} -Minimum).Minimum

        End = ($shellbags | Measure-Object -Property {[DateTime]::Parse($_.ModifiedDate)} -Maximum).Maximum

    }

    TopPaths = $shellbags | Group-Object Path | Sort-Object Count -Descending | Select-Object -First 10

}



Write-Host "Статистика ShellBags:"

Write-Host "  Всего записей: $($stats.TotalRecords)"

Write-Host "  Уникальных путей: $($stats.UniquePaths)"

Write-Host "  Период: $($stats.DateRange.Start) - $($stats.DateRange.End)"

<h2 id="paketnaya-obrabotka-faylov-reestra">Пакетная обработка файлов реестра</h2>

$registryFiles = Get-ChildItem -Path "C:\Forensics\RegistryFiles" -Filter "*.dat" -Recurse



foreach ($file in $registryFiles) {

    Write-Host "Обработка: $($file.Name)"

    

    # Открытие в ShellBags Explorer (если поддерживается CLI)

    # Или использование API для автоматизации

    

    # Экспорт результатов

    $outputPath = "C:\Forensics\Exports\$($file.BaseName)_shellbags.csv"

    # Процесс экспорта

}

<h2 id="generatsiya-html-otcheta">Генерация HTML отчета</h2>

$report = @"

<!DOCTYPE html>

<html>

<head>

    <title>ShellBags Analysis Report</title>

    <style>

        body { font-family: Arial; margin: 20px; }

        table { border-collapse: collapse; width: 100%; }

        th, td { border: 1px solid #ddd; padding: 8px; text-align: left; }

        th { background-color: #4CAF50; color: white; }

    </style>

</head>

<body>

    <h1>ShellBags Analysis Report</h1>

    <p>Дата создания: $(Get-Date)</p>

    <h2>Статистика</h2>

    <p>Всего записей: $($shellbags.Count)</p>

    <h2>Записи</h2>

    <table>

        <tr>

            <th>Дата</th>

            <th>Путь</th>

            <th>Тип устройства</th>

        </tr>

"@



foreach ($record in $shellbags | Select-Object -First 100) {

    $report += "<tr><td>$($record.ModifiedDate)</td><td>$($record.Path)</td><td>$($record.DeviceType)</td></tr>"

}



$report += @"

    </table>

</body>

</html>

"@



$report | Out-File -FilePath "report.html" -Encoding UTF8