如何清理Windows上的Shellbags?

智能的做法并不是清除每一个shellbag,而是让清理内容与您真正想要清除的对象相匹配。在PrivaZer的Shellbags选项中,您可以选择三种方式:

• 是,全部删除(推荐用于隐私保护)会清除整个文件夹导航痕迹。您的资源管理器视图偏好设置将重置为默认值。可使用但保留复选框来保留桌面图标位置、默认文件夹视图以及快速访问显示偏好设置。
• 是,删除已删除文件夹的痕迹,这是较为均衡的默认选项。它只删除指向已不复存在的文件夹、驱动器、网络共享或加密卷的shellbag条目,而保留您仍在使用的文件夹的视图设置。
• 否,完全跳过Shellbags清理。不会删除任何内容。

简而言之:删除已删除文件夹的痕迹会清除最重要的取证痕迹(已消失的驱动器和文件夹),而完全不影响您日常使用的资源管理器;而全部删除则是彻底重置。这就是上面所展示的平衡之道。

一个shellbag并非单一的值,而是两个相互关联的结构。图中四个琥珀色部分构成BagMRU树:它们记录了您打开过哪些文件夹、位于哪个驱动器或共享上、打开的时间,以及该文件夹的NTFS引用。正因如此,shellbags成为一种备受青睐的取证痕迹——它们比其所指向的文件夹、USB存储设备或加密卷本身更长寿。灰色部分则是Bags键:纯粹是外观视图偏好设置。PrivaZer会删除BagMRU痕迹,并保留Bags视图设置完好无损,只有在您要求时才会重置它们。

可以,但这取决于您的选择。选择删除已删除文件夹的痕迹时,仍然存在的文件夹的条目会被保留,因此其视图偏好设置也会保留。选择全部删除时,包括当前文件夹在内的所有内容都会被清除;此后Windows会在您浏览时以默认视图重新构建全新的shellbags。无论哪种方式,您的文件都不会受到任何影响,shellbags只存储显示偏好设置和导航历史记录。

不是视图设置本身,而是与之一同记录的内容。您在资源管理器中打开的每一个文件夹都会留下一条BagMRU条目,其中保存着文件夹的路径、类型(本地、可移动、网络、加密)、内嵌的创建/修改/访问日期,以及其NTFS引用。这是一份带时间戳的浏览轨迹地图,取证工具可以直接读取它。外观视图数据本身是无害的;导航痕迹才是真正暴露隐私的部分。

会,这正是它们之所以重要的原因。一条shellbag条目的存在时间可能比文件夹本身、已断开连接的USB或外部磁盘、已卸载的网络共享,以及已卸载的加密卷(VeraCrypt、BitLocker)还要长。调查人员可以借此证明某个特定用户曾在一台设备上访问过某个特定文件夹,即使该设备在这台电脑上已不复存在。这正是删除已删除文件夹的痕迹旨在清除的痕迹。

您能获得真正重要的隐私保护,同时不打扰您的日常使用习惯。已消失的驱动器、文件夹和卷的条目——也就是取证最关心的部分——会被清除,而您仍在使用的文件夹会保留熟悉的视图。没有重置,没有意外,只是敏感痕迹消失了。

不会。Shellbags只存储外观偏好设置,因此清理它们绝不会影响您的文件、文件夹结构或系统稳定性。

选择全部删除后,文件夹只会重新以Windows默认视图打开,Windows会在您浏览时重新构建新的shellbags。这是一次重置,而不是功能丢失:下次您为某个文件夹设置偏好视图时,这个新的偏好设置会照常保存。

选择删除已删除文件夹的痕迹时,连这种重置都不会发生:只有已经消失的文件夹和驱动器的条目会被删除,因此您当前使用的任何内容都不会发生任何变化。

无论哪种方式,您都能在没有任何弊端的情况下获得隐私保护:视图不会损坏,系统不会不稳定,也不会留下任何供取证工具读取的导航痕迹。