Windows 取证55 条

卷影副本中的文件时间戳

卷影副本保留历史版本，可用于恢复被删除或被改写的文件，其中的时间戳与当前卷对照能看出篡改与恢复过程。

枚举	vssadmin list shadows 查看副本与卷偏移
访问	对影子卷偏移用 fls/icat 只读分析

枚举与访问

vssadmin list shadows
fls -r -o <影子卷偏移扇区> -m "/" -z UTC /evidence/disk.dd | head -20

影子卷偏移来自 vssadmin 输出，单位与 fls 的 -o 对齐方式要核对。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌