Volume Snapshot Service 조사하기

윈도우의 시스템 복원 기능으로 XP의 시스템 복원 지점이 Vista 이후 VSS로 변화되었다.

하지만 정작 C드라이브를 열거나 마운팅된 이미지를 보아도 확인할 수가 없다.

따라서 다른 도구를 이용해야 하는데...도구 없이도 분석이 가능하다.

 

우선 이미지를 마운팅 시킨다.

 

이미지 마운트.zip

 

커맨드 창을 실행한다.

vssadmin list shadows /for=k:

여기서 k는 마운트 된 경로이다.

 

이후 C드라이브에 바로가기 파일을 만들어주어 분석을 할 수 있는 환경을 만들어준다.

mklink /d c:\show7 \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy7\

여기서 중요한 점은 마지막에 꼭 \를 붙여주어야 한다는 것이다.

 

 

폴더를 보면 show7폴더가 생겼다.

 

링크를 끊는 방법은 바로가기파일을 삭제해주면된다.