UnderlayCopy

UnderlayCopy 是一个 PowerShell 实用工具，用于底层 NTFS 采集以及转储受保护、被锁定的系统文件（例如：SAM、SYSTEM、NTDS.dit、注册表配置单元，以及其他在 Windows 运行时通常无法访问的文件）。它支持两种互补模式，无需使用 VSS 或标准文件 I/O 即可实现此目的：

• MFT 模式：解析 $MFT 记录，并通过读取原始卷扇区来重建/复制文件数据。
• 元数据模式：使用文件系统元数据（fsutil）将文件映射到簇并复制原始扇区。

用途：研究、红队演练和 DFIR 采集。 不适用于：未授权访问或恶意使用。

功能特性

• 支持本地 NTFS 卷。
• 无需依赖 VSS 或标准文件 I/O API 即可运行。

使用方法

前提条件

• 管理员权限

示例

   .\UnderlayCopy.ps1
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\System32\config\SAM -DestinationFile C:\Windows\Temp\sam.dmp
   Underlay-Copy -Mode MFT -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp
   Underlay-Copy -Mode Metadata -SourceFile C:\Windows\NTDS\ntds.dit -DestinationFile C:\Windows\Temp\ntds.dmp

审计与检测

• 监控原始卷读取（以 RAW 访问方式打开 \.\PhysicalDriveN 或 \.\C: 的句柄）
• 监控对敏感系统文件的直接访问（例如：C:\Windows\System32\config\SAM、C:\Windows\System32\config\SYSTEM、C:\Windows\NTDS\NTDS.dit），并对这些文件的意外读取或复制发出告警。
• 对读取 $MFT 或在物理卷上执行大型无缓冲读取的进程发出告警。
• 跟踪 fsutil 的异常使用以及可疑的底层 Win32 API 调用（使用卷或物理路径调用 CreateFile）。