アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

スナップショットの論理マウント

VShadow Tool を使うと、スナップショットファイルを論理ドライブとしてローカルでマウントできると Matt さんに教えていただいたので、早速試してみました。Vshadowツール自体は SDK に含まれているので、まずは SDK のダウンロードからやりましたけど...

VShadow Tool and Sample
http://msdn.microsoft.com/en-us/library/bb530725(VS.85).aspx

“-el”オプションを使うことで、論理ドライブとしてマウントすることができますが、注意点としてシステムの保護からスナップショットを作成し、それを利用すると以下のエラーが発生します。

vsstools>vshadow.exe -el={98e4b0eb-dbc0-493e-8fea-5be6c157da16},Z:
ERROR: the snapshot ID identifies a Client Accessible snapshot which cannot be exposed

vssadmin などのコマンドでも確認できますが、スナップショットが Client Acceesible or クライアント アクセス可能、な状態になっている状況だとVshadowツールでの論理ドライブマウントが失敗します。*1
vshadowコマンドでスナップショットを作成することができるので、vshadow -p -nw F: などで実行すれば指定ドライブのスナップショットが作成され、論理ドライブとしてマウントすることができます。手元の Windows 7 な検証環境でも問題なくスナップショットファイルを論理ドライブとしてマウントすることができました。

2008年2月頃にこのコマンドを使った痕跡が、ここの過去記事から伺えますが綺麗さっぱり、すっかり失念していました。その当時から -el オプションがあったかどうかは記憶が定かではないのですが、なかなか便利なコマンドですね。

*1:dmares.comのVSS.EXEでどうなるのかは確認していません