Удалить теневые копии. Как восстановить удаленные файлы и папки из теневых копий в Windows

Если вы случайно удалили файл или папку мимо корзины, не впадайте в панику. Программы для восстановления данных от вас никуда не денутся, поэтому попробуйте сначала средства системы. В Windows можно восстановить предыдущие версии файлов и папок, даже если в графическом интерфейсе этой возможности нет.

В Windows 8 в свойствах дисков, папок и файлов стало на одну вкладку меньше. Обратите внимание, что пропали предыдущие версии.

Это наблюдается только в клиентской операционной системе, т.е. в Windows Server 2012 вкладка осталась. В Windows 10 вкладка вернулась, но… вам надо прочесть статью:)

Статья обновлена в контексте Windows 10.

Сегодня в программе

Предыдущие версии в Windows 10

Статья была написана во времена Windows 8, а в Windows 10 вкладка «Предыдущие версии» вернулась в свойства папки. Тем не менее материал актуален для Windows 10, потому что в нем демонстрируются способы восстановления файлов напрямую из теневых копий.

В Windows 10 на вкладке написано, что предыдущие версии образуются из истории файлов и теневых копий. Для начала нужно учитывать, что в Windows 10 защита системы по умолчанию отключена, поэтому при стандартных настройках предыдущие версии доступны только из истории файлов, если она включена, конечно.

Более того, мой эксперимент в Windows 10 версии 1511 (и позже в 1709) показал, что на вкладке отображаются только версии из истории файлов, даже если защита системы включена!

На этой картинке:

1. Свойства папки скриншотов в ОС. Последняя версия от 27 февраля. Вероятно, это дата последнего копирования в историю файлов, которая у меня сейчас не работает (диск отключен физически)
2. Последняя теневая копия от 11 мая (появилась при создании точки восстановления перед установкой обновлений WU), создаю символическую ссылку на п.3
3. Содержимое теневой копии. Видно, что в ней есть файлы, созданные незадолго до появления теневой копии от 11 мая. Однако они отсутствуют в п.1

Таким образом, лучший шанс восстановить предыдущие версии у вас есть в том случае, если включена история файлов. Тогда версии доступны на вкладке в свойствах папки или в интерфейсе истории файлов. В противном случае должна быть включена защита системы, и при необходимости вам придется добираться до теневых копий способами, описанными ниже в статье.

Как работают предыдущие версии, и почему убрали вкладку в Windows 8

Такая картина в свойствах файлов и папок является лишь следствием того, что в параметрах защиты системы Windows 8 теперь нет опции восстановления файлов.

Сразу скажу, что отсутствие точки входа в графическом интерфейсе не означает отсутствия технологии в системе. Предыдущие версии файлов все равно доступны! Поэтому все сказанное ниже полностью применимо к Windows 8, а описание технологии относится и к Windows 7.

Почему же убрали опцию защиты файлов и вкладку предыдущих версий? У меня нет точного ответа, но есть обоснованные предположения, которыми я поделюсь с вами, заодно объяснив принцип работы предыдущих версий.

Во многих системах на этой вкладке всегда было пусто

Это заставляло тысячи людей озадачивать форумы сообщества и поддержку Microsoft наболевшим вопросом. Но вы-то уже догадались, в чем была их проблема, не так ли? У этих людей была полностью отключена защита системы!

Людям был непонятен принцип хранения и отображения предыдущих версий

Действительно, почему для одних папок есть несколько версий, а для других – ни одной? Дело в том, что разные редакции файлов в этих папках могли быть созданы только не раньше самой старой точки восстановления.

Согласитесь, при взгляде на вкладку не совсем очевидно, что сохранение версий личных документов и медиа-файлов привязано к созданию точек восстановления (хотя это описано в справке Windows, пусть и не без огрехов).

О точках принято думать как о средстве отката системных параметров, тем более что личные файлы при этом не восстанавливаются (за исключением этих типов файлов).

Между тем, точки восстановления и предыдущие версии файлов (не относящиеся к истории файлов) хранятся в одном месте – теневых копиях тома.

Механизм восстановления системы попросту делает снимок тома в нужное время и сохраняет его в теневой копии. Именно пространство, выделенное для теневых копий, вы контролируете в параметрах защиты системы.

Теперь становится понятно, почему количество версий у файлов и папок может варьироваться. Состояние файла записывается на момент создания точки восстановления. Если между точками он изменялся, в теневой копии сохраняется его версия. Если же файл оставался неизменным в период, охваченный точками восстановления, у него вообще не будет предыдущих версий.

В Windows 8 появилась история файлов

Когда понятен принцип применения технологии, из нее можно извлечь пользу. В Windows 7 это было непонятно большинству людей, поэтому в Windows 8 внедрили более наглядную систему резервного копирования данных – историю файлов .

Она не опирается на теневые копии, а количество версий файлов вы можете контролировать, указав частоту резервного копирования. Все зависит от ваших нужд и места на целевом диске.

Вкладку же доступа к «непонятным» предыдущим версиям в Windows 8 просто убрали, вместе с сопутствующей опцией в параметрах защиты системы. Что же касается ИТ-специалистов, то они должны быть хорошо знакомы с понятием теневых копий – ведь в серверных ОС для управления ими есть одноименная вкладка в свойствах тома. Потому в Windows Server 2012 вкладка «Предыдущие версии» находится на своем привычном месте.

В Windows 8+ точки восстановления создаются по особому алгоритму , а вместе с ними сохраняются предыдущие версии ваших файлов и папок. Дальше я расскажу, как их открыть.

Как открыть предыдущие версии файлов и папок из теневых копий

Ниже два способа, которые сработают в случае, если у вас включена защита системы. Первый подходит для всех поддерживаемых Windows и будет полезен, если у вас не включена история файлов. Второй способ имеет смысл лишь в Windows 8/8.1 с учетом замечания о Windows 10 в начале статьи.

Способ 1 — символическая ссылка в теневые копии (Windows 7 и новее)

Постоянные читатели блога уже видели этот трюк в статье про функцию обновления ПК без удаления файлов (Refresh Your PC). Она тоже использует теневые копии для промежуточного сохранения диска, когда вы создаете свой образ для отката.

Тогда мне этот фокус был нужен для понимания технологии, зато теперь он вам может понадобиться для решения вполне конкретной задачи. В командной строке, запущенной от имени администратора , выполните:

Vssadmin list shadows

Вы увидите список теневых копий на всех томах. Для каждой из них указана буква диска, поэтому вам будет легко сориентироваться. Кроме того, каждая теневая копия соответствует по дате одной из точек восстановления (чтобы вывести их список, выполните в консоли rstrui ).

Выберите нужную дату и скопируйте идентификатор тома теневой копии. Теперь используйте его во второй команде (не забудьте добавить обратный слэш в конце):

Mklink /d %SystemDrive%\shadow \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2\

В корне системного диска у вас уже появилась символическая ссылка shadow , ведущая в теневую копию! Перейдя по ссылке, вы увидите знакомую структуру файлов и папок – это и есть их предыдущие версии.

Способ 2 — вход в общий диск по сети (Windows 8 и 8.1)

Добавлено 15.01.2013 . В комментариях читатель Алексей поделился более простым способом доступа к теневым копиям по сравнению с описанным в статье изначально. Сначала способ работал, но позже Microsoft закрыла лазейку каким-то из обновлений. Однако читатель Ника в итоге подсказал обходной путь.

Сначала нужно сделать диск общим, а потом зайти в него «по сети». В окне «Этот компьютер» откройте «Сеть» и зайдите на свой ПК, либо под учетной записью администратора вставьте сетевой путь в адресную строку проводника или в окно «Выполнить»:

\\%computername%\C$

где C — буква желаемого диска. В сетевых папках вкладка «Предыдущие версии» присутствует:

Поскольку я несколько раз прибегал к извлечению данных из теневых копий, мне немного жаль потери в графическом интерфейсе. Ведь вкладка «Предыдущие версии» была удобна тем, что сразу позволяла добраться до нужных файлов.

Впрочем, я уж не настолько часто пользовался этой возможностью, чтобы ввод двух команд в консоль доставлял мне жуткие неудобства. Ведь главное – это наличие предыдущих версий файлов, а добраться до них я смогу! Теперь сможете и вы;)

А вам хоть раз доводилось восстанавливать предыдущие версии файлов из теневых копий? Расскажите в комментариях, почему возникла необходимость и удалось ли все восстановить.

Я все-таки думаю, что большинство читателей ни разу не прибегали к этой возможности на домашних системах, а посему ее исчезновение из графического интерфейса их не слишком расстроит. В следующей записи мы поговорим о том, почему различные функции Windows исчезают или подвергаются изменениями, и как вы можете повлиять на ситуацию.

Служба "Теневое копирование тома" (Volume Shadow Copy Service, VSS) сохраняет точки восстановления и поддерживает резервирование и восстановление файлов на основании механизма получения моментальных снимков файлов и данных (snapshot), именуемые теневыми копиями. VSS создаёт статические копии открытых файлов и приложений, которые при других обстоятельствах являются слишком непостоянными для резервирования.

Звучит убедительно, но VSS отнимает большое количество дискового пространства. Для начала воспользуйтесь командой "vssadmin", чтобы посмотреть, сколько места занимают текущие теневые копии тома с помощью команды "vssadmin list shadowstorage". (Для более подробной информации нажмите кнопку "Start", в строке поиска введите cmd, а затем для получения помощи введите vssadmin /?).

На приведённом ниже скриншоте активированы точки восстановления для дисков C: и D; на этих же дисках есть также теневые копии. Посмотрим, сколько дискового пространства тратится на теневые копии этих дисков: 22,079 Гбайт на диске D: (общий объём: 149 Гбайт; объём, занимаемый теневыми копиями = 15,5%) и 64,448 Гбайт на диске C: (общий объём: 465 Гбайт; объём, занимаемый теневыми копиями = 14,9%).

В какой-то момент мы обнаружили всего 230 Гбайт свободного пространства на 465-Гбайт диске C:, хотя мы точно знали, что на нём содержится всего 120 Гбайт файлов. Поиски пропавших 115 Гбайт привели нас к службе Volume Shadow Copy Service. Мы снова воспользовались командой "vssadmin list shadows" (мы не стали приводить здесь результат её выполнения, поскольку он очень длинный: там перечислены все теневые копии на диске) и выяснили, что одна из теневых копий занимает 85 Гбайт! Поскольку мы недавно копировали большую коллекцию музыкальных файлов со старого 200-Гбайт USB-накопителя на наш новый более быстрый диск SATA, служба VSS, очевидно, создала теневую копию тех файлов одновременно с их копированием в папку, доступную пользователям.

Как избавиться от этой ненужной теневой копии? По умолчанию Vista выделяет теневым копиям 15% дискового пространства, однако операционная система строго не ограничивает общий объём теневых копий. Если теневой копии требуется больше места, то Vista с радостью его предоставит. С помощью утилиты командной строки vssadmin можно установить чёткий лимит дискового пространства для теневых копий. Вот как это можно сделать:

Vssadmin resize shadowstorage /For=T: /On=T: /MaxSize=Num

Вместо буквы "T" подставьте название своего диска и замените "Num" на число равное 15% ёмкости этого диска. В случае с нашим диском C: эта команда будет выглядеть так:

Vssadmin resize shadowstorage /For=C: /On=C: /Maxsize=69GB

Прежде чем воспользоваться этим трюком, сделайте резервную копию своей системы и создайте точку восстановления сразу же после перезагрузки системы. После выполнения приведённой выше команды, Vista автоматически сначала удаляет самые старые точки восстановления до тех пор, пока не достигнет заданного вами предела.

Здравствуйте, друзья! Вот и добрался я в очередной раз до карандаша и бумаги. Точнее до ноутбука и виртуальной машины. Сегодня хочу рассказать о таком безусловно интересном и полезном явлении, как предыдущие версии файлов или теневые копии Windows .

Продемонстрируем на практике работу с теневыми копиями.

Как восстановить удалённые файлы из теневых копий Windows

Вот у нас имеется рабочий стол Windows. На нём две папки screen и zip, которые мы будем удалять и восстанавливать. Третья папка – ShadowExplorer – программа, при помощи которой я буду работать с теневыми копиями. Программу я , берите и пользуйтесь! Итак, поскольку предыдущие версии файлов (теневые копии) используют контрольные точки восстановления, нам потребуется создать как минимум одну точку. Для этого перейдём в свойства системы, на вкладку “Защита системы”. Нам важно, чтобы в параметрах защиты стоял режим “Включено”, в настройках также можно задать резервируемый объём диска в процентном соотношении под эти контрольные точки, а также моментально создать точку восстановления (кнопка “Создать”)

Нажимаем “Создать”, вводим имя контрольной точки:

Процесс создания контрольной точки (делее – КТ ) занимает некоторое время.

Конечно, можно прибегнуть к программам восстановления данных, тем более, что объект удалили весьма недавно и есть вероятность его восстановить. Но что, если это не так? Что, если программы восстановления данных не дали нужного результата?

На помощь приходят данные из “теневых копий “. Запустим программу ShadowExplorer. Мы увидим в главном окне выпадающие списки – в первом – диск, на котором создаются теневые копии, во втором – дата создания снимка системы.

Так как снимок системы, как и логический раздел у нас в единственном экземпляре, то откроются именно нужные нам данные. В дереве каталогов развернём нужную директорию и увидим, что наши, ныне удалённые каталоги там ещё остались! Кликнем правой кнопкой на нужном каталоге и нажмём “Export”.
И вот, объект восстановлен! Конечно это не универсальный способ, но тем не менее, вполне жизнеспособный и полезный.

Где хранятся теневые копии Windows

Теневые копии Windows хранятся в каталоге “System Volume Information “, в файлах с именами, выглядящими как {GUID}{GUID2} , где {GUID} – идентификатор копии, {GUID2} – идентификатор раздела.

Работа с теневыми копиями посредством shadowcopyview

От Nirsoft есть отличный инструмент, позволяющий довольно удобно работать с теневыми копиями. Имя этой программке ShadowCopyView. Её я также прикладываю к статье, при желании можете скачать актуальную версию с сайта разработчиков – она бесплатная.

В главном окне отображаются теневые копии (в верхней части), ниже – их содержимое. Также есть пункт контекстного меню “Copy Selected Files To… “, позволяющий вытащить из теневой копии содержимое.

Работа с теневыми копиями из командной строки

Но что делать, если под рукой не оказалось каких-либо инструментов? Не беда, можно подмонтировать том теневой копии посредством командной строки и открыть теневую копию в качестве каталога в проводнике.

Первым делом, нам нужно получить список теневых копий:

Все теневые копии будут выведены в подобном виде. Здесь нас интересует дата создания и поле “Том теневой копии”. Скопируем эту строку и создадим символическую ссылку на этот каталог:

> mklink /D C:\old \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\

Внимание! Слеш в конце обязателен, на скрине я снял без слеша и не получилось войти в каталог. Команда mklink создаёт ссылку C:\old на каталог (ключ /D) резервной копии.

Посмотрим, как это выглядит в проводнике:

Но это вовсе не значит, что у нас на диске теперь записано в 2 раза больше информации. Эта информация помечена как свободная, но она не будет перезаписываться до тех пор, пока не исчерпается свободное место, отделённое на этапе настройки службы резервного копирования. Помните, мы там указывали, какой процент диска выделять под резервные копии. Только после того, как всё оставшееся место будет исчерпано, будут затираться теневые копии изменённых файлов.

Друзья! Вступайте в нашу

Далеко не всегда необходимо устанавливать дополнительные сторонние программы в Windows 7, чтобы восстановить удаленные данные или данные которые подверглись перезаписи. Семерка позволяет сделать это собственными средствами. Если вы по неосторожности удалили или перезаписали файлы, предположим документы Microsoft Office или семейные фотографии и хотите их восстановить или вернуть к первоначальному состоянию, то не спешите устанавливать для этой процедуру специально ПО.

Восстановление данных Windows 7 возможно средствами самой системы, для этого разработчики Microsoft добавили в эту версию операционной системы удобный и простой в использовании инструмент – теневые копии (Volume Shadow Copy Service, сокращенно VVS). C помощью теневых копий можно быстро, всего парой кликов мышкой, реанимировать удаленные или перезаписанные файлы, хранящиеся на жестком диске вашего компьютера.

Не стоит путать теневые копии с полной резервной копией Windows 7. Это инструмент не заменяет полноценное резервное копирование, а всего на всего хранит дубликаты тех файлов, которые подверглись изменению или были удалены. В “семерке” данный инструмент работает по принципу точек восстановления. Все вы наверное знаете об этих точка, с помощью которых можно откатить систему на определенный момент. Так вот, функция VVS создает теневые копии данных, например перед обновлением ОС. Это очень удобный инструмент восстановления данных Windows 7, но только в том случае, если вы случайно удалили и перезаписали файлы. Volume Shadow Copy Service может восстановить до шестидесяти четырех предыдущих копий каждого удаленного, или измененного файла.

Восстановление файлов с помощью теневых копий Windows 7

Чтобы приступить к восстановлению файлов из теневых копий, выполните следующие действия. Щелкните правой клавишей мыши по нужному файлу, или каталогу, в котором находятся данные для восстановления. Затем, в открывшемся контекстном меню выберите пункт “Свойства”, затем перейдите во вкладку “Предыдущие версии”. Если теневые копии для файла или папки имеются в системе, то вы увидите их список. К сожалению мы не смогли найти в нашей системе теневых копий файлов, так как она практически свежая, то есть установленная специально для сайта сайт.

Чтобы восстановить файл из нужной копии, достаточно просто кликнуть по нему два раза левой кнопкой мыши, и он будет восстановлен.

Стоит отметить, что пользователь может настроить данный инструмент. Например, вы можете сами определить место хранения на жестком диске теневых копий файлов. Кроме того, нажав сочетание клавиш “Win+Pause” и перейдя в раздел “Защита системы” вы можете указать Windows 7 защищать диски или разделы жесткого диска и определить для каждого из них количество памяти, которой ОС может воспользоваться для этого.

Существует не так много способов, чтобы восстановить файлы, зашифрованные в результате атаки шифровальщика, но при этом не платить выкуп за них. Если нам повезло, то могут быть некоторые бесплатные средства для их восстановления, но более реальный вариант – это восстановление Ваших файлов из Ваших резервных копий. Однако, далеко не каждый человек имеет резервные копии своих файлов, хотя Windows предлагает очень полезную функцию, известную как Shadow Copy , которая, если говорить вкратце, представляет собой бэкап Ваших файлов. Кибер-преступники узнали о ней достаточно давно, а потому через несколько месяцев после того, как атаки шифровальщиков стали популярными, первое, что они делают при заражении Вашего компьютера, - это удаляют теневую копию Ваших файлов прежде, чем начать шифрование Вашей информации.

Существует ряд технологий, которые могут быть применены для остановки атак шифровальщиков: некоторые из них почти бесполезные, такие как сигнатуры или эвристика (это первое, что проверяют авторы вредоносных программ перед их «релизом»), другие иногда могут быть более эффективными, но даже сочетание всех этих техник не гарантирует, что Вы будете защищены от всех подобных атак.

Более 2 лет назад в антивирусной лаборатории PandaLabs применили простой, но достаточно эффективный подход: если какой-то процесс пытается удалить теневые копии, то, скорее всего (но не всегда, кстати), мы имеем дело с вредоносной программой, и вероятнее всего – с шифровальщиком. В наши дни большинство семейств шифровальщиков удаляют теневые копии , т.к. если этого не делать, то люди не будут платить выкуп, раз они могут бесплатно восстановить свои файлы. Рассмотрим, сколько инфекций было остановлено в нашей лаборатории благодаря такому подходу. Логично предположить, что это количество должно расти в геометрической прогрессии, т.к. количество атак шифровальщиков, использующих этот прием, также стремительно растет. Вот, например, количество атак, которые мы заблокировали за последние 12 месяцев с помощью нашего подхода:

Но на диаграмме мы видим прямо противоположное тому, что ожидали. Как такое возможно? На самом деле, такому «феномену» есть очень простое объяснение: мы используем данный подход как «последнее средство», когда никакие другие техники безопасности не смогли обнаружить ничего подозрительного, а потому срабатывает данное правило, которое и блокирует атаку шифровальщика. Данный подход мы используем еще и для внутренних целей, в результате чего мы можем проанализировать более детально те атаки, что были заблокированы на «последнем рубеже», и потом улучшить все предыдущие уровни безопасности. Мы также используем данный подход для оценки того, насколько хорошо или плохо мы останавливаем шифровальщиков: другими словами, чем ниже значения, тем лучше работают наши основные технологии. Так что, как Вы можете видеть, эффективность нашей работы повышается.

Оригинал статьи.