http://www.forensic-artifact.com/windows-forensics/shellbags

쉘백값이 안나와서 클리너 검거라고요? 

사용자가 로컬, 네트워크 및 이동식 저장장치에서 접근한 폴더 정보를 Shellbags 레지스트리에 기록합니다.

로컬 네트워크 이동식저장장치라곤 개인마우스 익스뿐인데 당연히 설치값이 나오지않는게 당연한거를 

피시방에서 레지스트리가 열리지않아서 피시방사장님 모셔다가 레지스트리가 피시방전체잠금이라 제가 쉘백값을 애초에 초기화자체를 할수가없엇고 

그에대해 윤건님이 사장님모셔다가 5분만이라도 풀어달라고 요청하셔서 제가 빌어가지고 사장님이 피시방 제자리 레지접근허용하는 방법 가르켜드린다고 윤건님 개인연락처 정중하게 몇번이나 여쭤보셨엇죠? 근데 그이후로 마이크 뚝 끊으시고 그냥 자기모르는 지식나오니깐 응 검거 이러시는데

피시방전체서버관리자가 제컴퓨터 화면상에나오는 모든기록이랑 레지값등 전부 설명드릴수있다고 몇번이나 말씀 드렸엇고 피시방마다 다르긴하지만 울산병영점 스타덤 피시방에는 하루한번 서버를초기화한다고 말씀드렸엇는데 윤건님이 노하드랑 사본에는 관심없으시다매요 ㅋㅋㅋㅋㅋ

근데 사장님이 노하드가아니라 설명드릴수있다고 연락처를 몇번이나 여쭤봤엇죠 근데 들은척도안하시곤 제가 컴퓨터관련지식이 무지하니깐 검거때리시고 꿀빠신거같은데 아무런 기술도없는 무직 전문지식도없는 백수가 돈받아먹으면서 이따위로 일처리하시면 안돼죠 피시방유저님들 피시방전체레지잠겨있는곳에서 윤건원격 믿고거르시면됩니다 피시방사장님이 윤건님보고 뭐하는사람이길래 피시방에대한 지식이 단하나도 없으신데 아는척하냐고 여쭤보시던데요  항상가던 피시방입니다 자리도 매일 다르구요 원격당일날도 정모하면서 게임을 진행했는데 피시방에 서든유저한둘도아니고 제가 원격러님들같은 핵쟁이전과자도아닌데 뭐하러 게임에다 돈바르면서 핵씁니까 ㅋㅋㅋㅋ 컴퓨터재부팅하면 설정값이 달라질수도있다 그전설정이 유지가되는것이아니라 변형이나 손상이될수있다 라고 점주분이 얘기를했엇구요 당당하게 레지스트리 피시방전체가 잠긴걸 제가 어떻게풀어서 클리너돌려요..? 그쪽도 못열엇잖아요 전문지식없는 고졸이라서   이후에 열이 쥰내받아서 주변지인들이랑 그당시 늦게오신 피시방서버관리자님이랑 다같이 다시보기봤는데 원격에대한 전문지식이 전혀없으신걸로 보이시구요 그냥 구글링에 나오는 잡프로그램주워다가 기록확인하시는거같은데 그냥 핵쓰시면서 게임이나하세요.... 백수세기야ㅋㅋㅋ

전에도 피시방에서 클리너검거당하신분들 억울하신분들 몇분더있죠? 연락주세요ㅋㅋㅋㅋ

네 그냥 윤건원격 믿고 거르시면 됩니다 원격할줄도모르는애가 구글링파일받아서 그냥 깔짝거리는거에요 존2222나억울하게 클리너검거당한것도 입에주먹넣고 울고싶은데 저런 사기꾼보고 정내미떨어져서 정모중에그냥 술먹으러가서 클탈박고 접을각재는거구요 저같은 다른피해자 안나오셨으면 좋겠습니다

1. 윤건이 레지값 확인조차안하고 피시방사장님과 전문기술자가 제자리만확인하는방법 알려줫음에도(사본방식이아님) 아몰랑하고 확인안한점

2. 쉘백값은 애초에 유에스비관련 저장장치 건드리지않으면 나올수가 없다는점

3. 재부팅후에 쉘백값이 나온다고하신거 그건 기본적으로 나오는거구요 사기꾼님아

4. 원격요청하신분이랑 새벽 대화나눈 녹취록입니다 들어보시면 윤건님이 원격을 못하시는데 그냥 제가해명못해서 검거처리되신거같다고 직접말씀하셨는      데 당연히 민간인이 컴퓨터용어를 어떻게압니까 해명이 버벅거린거 정말 모르는단어라서 방송다시보기보시면 남아있습니다  컴전공 서적피고 단어물       어   보면 윤건은 다압니까? 알면 연락줘요 원격관련용어 오지게물어보게 ㅋㅋㅋ

5. 제옆자리 옆옆자리 모두 쉘백값 레지값 전부다릅니다 병영스타덤피시방오시면 직접두눈 확인가능하고 사장님 기술자님 삼자대면 모두가능하시고 언제든 연락주세요

6. 제요청하나도 안들어주시고 검거처리하신거 그냥 돈쉽게벌려고 하신거 압니다 근데 지식도없는사람이 원격러라길래 쫄았엇는데 지금보면 그쪽이 전과자핵쟁이에 사짜 사기꾼이잖아요? 

7. 왜 서버기술자랑 사장님이 확인할수있고 다른점해명가능하다할때 왜 무시하셨어요? 윤건님? 님 하찮은 지능 까발려질까봐 무서우셨음? 다시연락줘요 피시방가서 같이 기술자님이랑 삼자대면하면되겠네

https://discordapp.com/channels/742274358797664319/742274358797664322/797705340791160842

https://cdn.discordapp.com/attachments/742274358797664322/797705294967865364/image0.png

- 사용자 레지스트리 파일인 [ NTUSER.DAT과 UsrClass.dat ]의 Shellbag 하위 키
- NTUSER.DAT는 데스크톱, Windows 네트워크 폴더, 원격 컴퓨터 및 원격 폴더에 대한 ShellBags 정보를 저장
- UsrClass.dat는 데스크톱, ZIP 파일, 원격 폴더, 로컬 폴더, Windows 특수 폴더 및 가상 폴더에 대한 ShellBags 정보를 저장 

결론 스킨안쓰는 시대에 설정한게없으면 쉘백값이 상황에따라 다르게 나올수있다 레지전체를 피시방에서 막은걸 윤건당사자도 못푸는데 내가어떻게 클리너돌리냐 빡대가리야  사장님 무릎부여잡고 광광울면서 풀어달라해서 내자리만 풀어준댔는데 왜 발뺌하는지 지능걸려서 검거때리고 튀엇져

EnCase에서 ShellBag을 분석하기 위해 먼저 NTUSER.dat 파일 경로 확인
C:\Users\사용자\NTUSER.DAT

아주간단한 경로도 틀렸다 프로그램 업데이트 언제했는지 여쭤봅니다 윤건님

경로를 찾은 후 BagMRU를 보면 하위에 MRUListEx, NodeSlot, NodeSlots 키를 확인할 수 있습니다.
NodeSlots은 루트 BagMRU 하위 키에서만 발견되며 새 셀백이 만들어 질 때마다 업데이트 됩니다.

새로운 쉘백이 생성될때마다 업데이트 되니깐 재부팅하니깐 값이 다르죠 아이큐 60..? 

결론   - 윤건한테 피시방에서 클리너검거된사람들 90% 사기당한거같음 (싸메 우성님부터..★ 여럿사람들)

당사자 분과 엪구영상있습니다 대화내용 링크따로 첨부할게요

http://vod.afreecatv.com/PLAYER/STATION/66842761