Fichiers de registre Windows cliché instantané

Question

Je dois trouver tous les fichiers de registre de Windows sur le disque, y compris les données de sauvegarde de registre à partir de Windows Shadow Copy. Le problème est que je ne sais pas où se trouvent ces fichiers.

Dans Internet, je trouve cette commande vssadmin list shadowstorage mais il me renvoie ce

For volume: (C:)\\?\Volume{ba406d28-f092-11dc-b3d7-806e6f6e6963}\

Shadow Copy Storage volume: (C:)\\?\Volume{ba406d28-f092-11dc-b3d7-806e6f6e6963}\

Qu'est-ce que cela? Où ces fichiers sont vraiment situés? Comment puis-je y accéder? Si je scanne le disque dur pour les fichiers binaires avec un nombre magique "regf" au début serait-il suffisant pour trouver toutes les données du registre?

AJOUTÉE

J'ai créé raccourci sur un dossier de sauvegarde des propriétés de dossier (Versions précédentes) Voici ce raccourci pointe vers

\\localhost\C$\@GMT-2012.04.12-00.13.21\Windows\System32\config

On dirait qu'il contient des fichiers de sauvegarde, mais est-il possible d'y accéder comme un répertoire normal? Comment puis-je trouver ces répertoires sur le disque dur?

Merci d'avance.

Answer 1

Run vssadmin list shadows (pas shadowstorage)

Vous recevrez la liste des copies d'ombre avec le chemin de chacun d'entre d'autres informations. Chemin ressemble à ceci:

\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1 

Utilisez ce chemin comme un remplacement à la lettre de volume comme ceci:

CreateFileW(L"\\\\?\\GLOBALROOT\\Device\\HarddiskVolumeShadowCopy1\\Windows\\System32\\config\\SYSTEM", GENERIC_READ, 
FILE_SHARE_READ | FILE_SHARE_WRITE | FILE_SHARE_DELETE, NULL, OPEN_EXISTING, 0, NULL);