Shellbags 记录了什么
Shellbags 保存在用户配置单元 UsrClass.dat 中，记录资源管理器浏览过的文件夹及其视图设置（窗口大小、排列方式等）。它的价值在于持久：即使目标目录已被删除、共享已下线或移动介质已拔出，条目中的路径信息仍然存在，因此可以用来证明“该用户浏览过这个目录”。面对“我只是点开看看”这类辩解，Shellbags 提供的是路径级访问证据，配合跳转列表与快捷方式痕迹能形成完整链条。
基本信息
| 适用平台 | Windows 7 及以上（更早版本的部分数据位于 NTUSER.DAT） |
|---|---|
| 文件位置 | %LOCALAPPDATA%\Microsoft\Windows\UsrClass.dat |
| 主要分支 | Local Settings\Software\Microsoft\Windows\Shell\BagMRU 与 Bags |
| 关键内容 | 目录与文件路径、卷信息、条目的创建与修改时间、视图设置 |
| 解析工具 | SBECmd 等；需按用户分别解析配置单元 |
典型使用场景
- 证明用户浏览过某个目录，即使目录已被删除或介质已移除
- 发现对可移动介质或网络共享的目录访问，辅助判断数据外带
- 还原文件收集行为：浏览过哪些与职责无关的目录
- 验证访谈陈述：用户否认访问过某位置时用痕迹核对
- 为时间线补充浏览阶段的节点，把“下载—浏览—复制”串起来
解析与查看
解析与查看
# 解析指定用户的 UsrClass.dat，导出 CSV
SBECmd.exe -d /case/users/user/AppData/Local/Microsoft/Windows/UsrClass.dat --csv out/
# 关注可移动介质与网络路径条目
grep -i -E '^[A-Z]:\\\\|\\\\\\\\' out/ShellBags.csv | head -20
# 关注与业务无关的高层目录（例如临时打包目录）
grep -i -E '\\\\Temp\\\\|\\\\Desktop\\\\|\\\\Downloads\\\\' out/ShellBags.csv | head -20
# 每个用户的配置单元单独解析，结果分开保存并注明账号要素读法
| 要素 | 含义 | 判读要点 |
|---|---|---|
| 目录路径 | 被浏览过的文件夹 | 可移动介质与网络路径优先关注 |
| 卷信息 | 路径所属的卷 | 可判断访问是否发生在特定介质上 |
| 条目时间 | 条目的创建与修改时间 | 用于判断访问先后，注意时间基准 |
| 视图设置 | 窗口大小与排列方式 | 反映浏览行为细节，不用于时间判断 |
| 嵌套层级 | 父子目录关系 | 可还原浏览路径与导航顺序 |
Shellbags 反映的是浏览行为，不能说明文件内容被打开或复制；定性时要与其他痕迹配合，避免把“看过目录”说成“拷走文件”。
多用户主机上每个账号有独立的配置单元，必须分别解析；把不同用户的条目合并统计会导致归因错误。