Windows默认启用的系统恢复机制会定期创建卷影副本，创建的时机通常为安装或卸载软件以及系统更新。卷影副本 (Volume Shadow) 实际上就是我们在 Linux 上经常提到的 “快照(Snapshot)”，它利用写时复制 (CoW) 机制为我们提供了文件系统在某个时间点的一个状态的视图。通过利用这个视图，我们可以找回近期不慎删除或被覆盖的数据，也可以用于某些电子取证场景。实际上，系统恢复就是利用快照机制还原文件到先前某个状态实现的。
注意： 由于卷影副本存在一个严重的bug， 该方法并不可靠！找回的文件数据可能不完整，或需要手动拼接。该方法仅供紧急情况或取证场景使用，切勿以此代替备份软件。
前提条件： 系统恢复未被禁用、文件系统为NTFS、存在可用的系统恢复还原点
利用软链接将卷影副本链接到常规磁盘分区下面，就可以访问这些过去时间点的文件系统视图了。