01Konum
- <volume>\System Volume Information\{3808876b-c176-4e48-b7ae-04046e6cc752} (catalog)
- <volume>\System Volume Information\{GUID}{3808876b-c176-4e48-b7ae-04046e6cc752} (store)
- VSS volume header at volume offset 0x1e00
- SYSTEM hive: ControlSet00n\Control\BackupRestore\FilesNotToSnapshot
02Yanıtladığı sorular
- Bir dosya, kovan veya olay günlüğü anlık görüntü zamanında nasıldı?
- Silinen veya üzerine yazılan içerik önceki bir durumdan kurtarılabilir mi?
- Anlık görüntüler ne zaman oluşturuldu?
- Belirli dosyalar FilesNotToSnapshot ile hariç tutuldu mu?
03Biçim ve sürümler
| Biçim | Microsoft Software Shadow Copy provider 1.0 (b5946137-7b9f-4925-af80-51abd60b20d5) kopyaları yerel birimde 16 KiB'lik bloklarla saklar. Katalog depoları ve gölge kopya oluşturma zamanlarını listeler; her depo blok listeleri, bit eşlemleri ve korunan veri bloklarını içerir. Little-endian; UTC FILETIME. |
|---|---|
| Geçerli olduğu sürümler | Windows Vista'dan itibaren yerel NTFS biriminde kalıcı gölge kopyalar; VSS başlık sürümü 1 (Vista, 7) ve 2 (Windows 8). Birim başına en fazla 512 yazılım gölge kopyası. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| VSS volume header | VSS tanımlayıcısı, sürüm, katalog ofseti ve azami boyut (sınırsızsa 0). |
| Catalog entries | Gölge kopya oluşturma zamanı ve depo ofsetleri dahil depo başına bilgiler. |
| Store block list / bitmap | Özgün birim ofsetlerini korunan 16 KiB'lik bloklara eşler. |
| FilesNotToSnapshot | Uygulamaların VSS'ten hariç tutmasını istediği yolları (joker karakter içerebilir) tutan REG_MULTI_SZ değerler. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| Shadow copy creation time | FILETIME (UTC) | Anlık görüntünün alındığı zaman; içindeki artefaktlar birimin o andaki durumunu yansıtır. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- Edinilen birimde VSS başlığı ve kataloğundan gölge kopyaları tespit edin.
- Her anlık görüntüyü salt okunur olarak erişilebilir hâle getirin ve oluşturma zamanını kaydedin.
- Aynı artefakt ayrıştırıcılarını her anlık görüntüde çalıştırın (birçok aracın VSS seçeneği vardır) ve sonuçların tekrarlarını ayıklayın.
- Silmeleri ve değişiklikleri belirlemek için anlık görüntü ve canlı durumları karşılaştırın.
07Yorum tuzakları
- Yazmada kopyalama yalnızca anlık görüntüden sonra değişen blokları korur; yeniden oluşturma hem depoya hem de güncel birime bağlıdır.
- FilesNotToSnapshot hariç tutmaları en iyi çaba esaslıdır ve her anlık görüntü türüne uygulanmaz (ör. Vssadmin ile oluşturulanlara).
- libvshadow'un test kapsamı henüz Windows 10'u içermez; yeni sistemlerde ayrıştırıcı davranışını doğrulayın.
09Kaynaklar
- Volume Shadow Snapshot (VSS) format libyal / libvshadow (J. Metz) · erişim 2026-10-14
- Volume Shadow Copy Service Microsoft Learn · erişim 2026-10-14
- Excluding Files from Shadow Copies Microsoft Learn · erişim 2026-10-14
- PECmd README Eric Zimmerman (GitHub) · erişim 2026-10-14
- MFTECmd README Eric Zimmerman (GitHub) · erişim 2026-10-14