为什么要先查卷影
Windows 的卷影副本（Volume Shadow Copy）是本地快速回滚的依托，也是勒索软件动手前必先清除的对象：vssadmin delete shadows /all /quiet 是最常见的破坏命令。检查卷影是否还在，直接决定本地是否有可用的恢复点。
本地恢复不等于全部
卷影被删不代表无路可走，外部备份、云备份、复制节点与快照存储同样要逐项核对。核验的目标是给出「可恢复点清单」，而不是只回答本地有没有影子副本。
基本信息
| 列出卷影 | vssadmin list shadows（需管理员） |
|---|---|
| 查看备份版本 | wbadmin get versions |
| 备份状态 | wbadmin get status |
| 破坏痕迹 | vssadmin、wmic shadowcopy delete 的调用记录 |
| 佐证位置 | System 日志、PowerShell 转录、命令历史 |
| 适用平台 | Windows Server 与 Windows 客户端 |
典型使用场景
- 勒索事件中评估本地可恢复性
- 确认攻击者是否已执行卷影删除
- 恢复前确认备份与卷影的时间点
- 为「是否有可用的干净数据点」提供证据
- 复盘时比对破坏命令与加密起点的时间关系
核验卷影与备份状态
核验卷影与备份状态
vssadmin list shadows | Select-Object -First 40
vssadmin list shadowstorage # 查看卷影存储配置与占用
wbadmin get versions 2>$null
wbadmin get status 2>$null
Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Backup'} -MaxEvents 10 -ErrorAction SilentlyContinue | Format-Table TimeCreated, Id
diskshadow /s C:\evidence\shadow_restore.txt # 需要时用脚本方式列出/恢复输出逐列读法
| 字段 | 含义 | 正常/异常 |
|---|---|---|
| Shadow Copy Volume | 卷影副本标识 | 为空或只有少量早于入侵的副本即说明被清理过 |
| creation time | 卷影创建时间 | 全部晚于入侵时间点时无可用的干净还原点 |
| Maximum Shadow Copy Storage | 卷影存储上限 | 被设为 0 或极小需结合配置变更时间判断 |
| wbadmin 版本列表 | 备份版本时间点 | 无输出通常表示备份组件未启用或被删除 |
卷影被删不等于无路可走：继续核对外部备份、云备份与复制节点；同时注意 vssadmin 的调用记录本身就是定级依据。
读卷影列表不需要恢复动作：只做只读查询，避免挂载到生产系统干扰原始状态；需要提取文件时在隔离环境操作。
一并核对的恢复来源
- 外部介质与异地备份的最近可用时间点
- 云平台快照与对象存储版本
- 数据库自身的备份与日志（binlog、WAL）
- 复制节点或只读从库的数据状态