[译]用python来玩转Volume Shadow copies

原文地址：http://pen-testing.sans.org/blog/pen-testing/2013/04/12/using-volume-shadow-copies-from-python

Volume Shadow copies 提供管理员工具来访问Windows，包含最新删除的的文件，带锁的文件等。他们就像通道一样直达Windows文件系统，用来挖掘各种有价值的信息。
Volume Shadow copies对于渗透测试来说价值无限，他们包含很多有价值的信息。加入域管理员知道渗透测试要进行测试，删除password.txt怎么办？没问题。密码文件还存在Volume Shadow copies中等你挖掘。类似NTDS.DIT(AD数据库)这类文件会被系统锁住所以你没法获得他们。使用Volume Shadow copies可以解决问题。你可以创建一个新的Volume Shadow copies，然后抓取文件的copy，然后就可以掠夺域中的users了。
可以使用win32com模块和COM来和WIN32_ShadowCopy服务进行交互来做你想做的。参数在python中使用COM很麻烦，但是有现成的库了。
获得某个系统的Volume Shadow copies列表很简单。可以使用vssown.vbs，查询对应的python语句，然后转换成python代码。(vssown.vbs可以从这里下载http://ptscripts.googlecode.com/svn/trunk/windows/vssown.vbs)。然后创建一个object，连接到服务器，使用ExecQuery来获得系统的所有Volume Shadow Copies列表。然后可以使用循环来遍历每一个shadow copy，获得"DeviceObject"属性。需要使用"DeviceObject"属性来访问Volume Shadow Copies中的数据。
[img]htt