卷影副本（VSS）能做什么
卷影副本（Volume Shadow Copy）保存卷在历史时刻的快照，可以回溯文件在被删除、被修改或被加密之前的状态，因此是勒索软件与误删场景中最重要的证据源之一。调查时的取证顺序是：先确认快照是否存在及其时间点，再把快照只读挂载出来提取文件，并对提取产物计算哈希登记。需要注意的是，攻击者常在加密前先删除快照以阻断恢复；快照缺失本身也是需要记录的重要事实。
基本信息
| 适用平台 | Windows Server 2008 及以上、Windows 7 及以上（需启用系统保护或相应功能） |
|---|---|
| 查看命令 | vssadmin list shadows、diskshadow、PowerShell 的 Get-CimInstance Win32_ShadowCopy |
| 挂载方式 | 用 mklink /d 建立指向 HarddiskVolumeShadowCopy 的符号链接（只读） |
| 镜像分析 | Linux 侧可用 libvshadow 的 vshadowinfo 查看快照信息、vshadowmount 挂载 |
| 记录要求 | 快照的创建时间、序号与提取产物的哈希都要登记 |
典型使用场景
- 勒索事件中恢复加密前的文件，用于确认被加密的对象与时间点
- 还原被删除的日志与配置，补齐时间线缺口
- 确认攻击者是否删除过快照，作为反取证行为的证据
- 为数据恢复提供可信来源，与备份互相印证
- 在用户误删场景中找回文件并保留处理记录
查看与挂载
查看与挂载
:: 1) 列出本机卷影副本（时间、卷与序号）
vssadmin list shadows
:: 2) 建立只读访问入口（把快照当作目录浏览）
mklink /d C:\snap \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\
:: 3) 从快照中复制需要的文件到工作目录并计算哈希
certutil -hashfile C:\snap\Windows\System32\winevt\Logs\Security.evtx SHA256
:: 4) 分析镜像中的快照（Linux 侧示例）
vshadowinfo /evidence/disk.dd
vshadowmount /evidence/disk.dd /mnt/vss现象对照
| 现象 | 含义 | 判读要点 |
|---|---|---|
| 存在多个快照 | 系统保护正常工作 | 按时间点选择加密或删除之前的快照 |
| 快照全部缺失 | 被删除或从未启用 | 记录为事实，结合命令历史与事件日志判断是否人为删除 |
| 快照数量异常少 | 可能被限制或清理 | 查配置与删除记录，区分正常容量回收与人为清理 |
| 快照内文件完整 | 可恢复加密前状态 | 提取后计算哈希并登记来源快照序号 |
| 快照内也已加密 | 加密发生在更早时间 | 向前一个快照回溯，缩小加密时间窗 |
快照本身也要算哈希并登记来源序号：从哪个快照提取、提取时间与产物哈希缺一不可，否则恢复出的文件无法与原始状态对应。
访问快照要严格只读：在快照目录内写入、修改或运行程序都可能影响挂载状态与后续取证，所有处理都在导出的副本上进行。