Volume Shadow Copy (VSS)
| Format | Volume Shadow Copy (VSS) |
|---|---|
| Kurzname | VSS |
| Kategorie | Dateisystem |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Copy-on-Write-Snapshots eines NTFS-Volumes (Systemwiederherstellung, Backups, Vorgängerversionen). Geänderte 16-KiB-Blöcke werden in Store-Dateien namens {GUID}{3808876B-C176-4E48-B7AE-04046E6CC752} unter System Volume Information abgelegt und von einem Header an Offset 0x1E00 des Volumes aus katalogisiert. Jeder Snapshot zeigt das Volume so, wie es zum Zeitpunkt seiner Erstellung war, einschließlich inzwischen gelöschter oder geänderter Dateien.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 7680 (0x1E00) | 6B 87 08 38 76 C1 48 4E B7 AE 04 04 6E 6C C7 52 | k..8v.HN....nl.R | VSS-Identifier {3808876B-C176-4E48-B7AE-04046E6CC752} an Volume-Offset 0x1E00 |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- Volume Shadow Snapshot (VSS) format (libyal/libvshadow) https://github.com/libyal/libvshadow/blob/main/documentation/Volume%20Shadow%20Snapshot%20(VSS)%20format.asciidoc
- ForensicsWiki — Windows shadow volumes https://forensics.wiki/windows_shadow_volumes/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Volume Shadow Copy (VSS)“. https://kalink0.github.io/crush-forensics/formats/de/vss/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden