1

我需要找到磁盘上的所有 Windows 注册表文件，包括来自 Windows 卷影副本的备份注册表数据。问题是我不知道这些文件的位置。

在互联网上我找到了这个命令 vssadmin list shadowstorage ，但它返回给我这个

For volume: (C:)\\?\Volume{ba406d28-f092-11dc-b3d7-806e6f6e6963}\

Shadow Copy Storage volume: (C:)\\?\Volume{ba406d28-f092-11dc-b3d7-806e6f6e6963}\

这是什么？这些文件的真正位置在哪里？我怎样才能访问它们？如果我扫描硬盘驱动器以查找开头带有“regf”幻数的二进制文件，是否足以找到所有注册表数据？

添加

我从文件夹属性（以前的版本）在一个备份文件夹上创建了快捷方式这是快捷方式指向的内容

\\localhost\C$\@GMT-2012.04.12-00.13.21\Windows\System32\config

看起来它包含备份文件，但是否可以将其作为普通目录访问？如何在硬盘上找到这些目录？

提前致谢。

4

1 回答 1

1

运行vssadmin list shadows（不是影子存储）

您将收到卷影副本列表以及其他信息的路径。路径如下所示：

\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1

使用该路径作为卷字母的替换，如下所示：

 CreateFileW(L"\\\\?\\GLOBALROOT\\Device\\HarddiskVolumeShadowCopy1\\Windows\\System32\\config\\SYSTEM", GENERIC_READ, 
FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE, NULL, OPEN_EXISTING, 0, NULL);
于 2012-04-12T20:46:54.460 回答