VMware虚拟磁盘结构分析和在电子数据取证中的应用.PDFVIP

JournalofForensic C—hinese Sciences,一垫!!：盟Q：兰坠丝堕Q：堑 鉴定实践 ForensicPractice VMware虚拟磁盘结构分析及在电子数据取证中的应用 钱伟．沙晶 (上海辰星电子数据司法鉴定中心公安部第三研究所信息网络安全公安部重点实验室，上海200035) 摘要：详细分析了VMware的虚拟磁盘结构，并针对电子数据取证中的磁盘镜像虚拟加栽、虚拟机数据迁移、虚拟磁盘 文件的搜索和虚拟磁盘数据的鉴定与恢复等实际问题提出相应的解决方案。 关键词：虚拟机；磁盘；电子数据；取证 中图分类号：TP393 文献标志码：A doi：10．3969，j．issn．1671—2072．2011．02．013 文章编号：1671—2072一(201’1)02-0060-05 StructuralofVMwareVirtualDiskandits inElectronicDataExamination Analysis Application Wei，SHA Q／AN Jing Stars Forell5ic Network (Shanghaitngitd Center。KeyLaboratoryofInformationSecurity， 200035，China) MinistryofPublicSecurity，Shanghd Abstract：This adetailedstructural ofVMwarevirtualdiskand solutionsto e- papergave analysis correspondingproblems inelectronicdata virtualdisk ofvirtual searchonvir- examination，like machines，files merged imageloading，datamigration tual andrestorationofvirtualdiskdata． disk，examination evidence words：virtualmachine；disk；electronicdata；electronic Key 特定的一个虚拟磁盘可能有符合上述两个特征 1 引言 的任意组合。 计算机虚拟技术是通过软件来模拟计算机硬件的 从虚拟机的差分控制来说．虚拟磁盘文件可以 技术。目前，物理计算机的计算量、存储量有了非常大 分为两类：基础磁盘文件(Base)和差分控制链接 的进步。计算机上安装了虚拟机之后可以在一台机器 上模拟出多台机器的效果。能完成架设多计算机服务 文件串连在一起便构成了虚拟磁盘文件。 程序、隐蔽网络访问等需求。因此。越来越多的数据以 基础磁盘文件 及服务被存储和移植到了虚拟计算机上。随之带来的 针对虚拟机的数据恢复与取证需要对虚拟机磁盘结构 差分控制链接 有一定的了解。本文详细分析了最常用的VMware虚拟 差分控制链接 机磁盘的文件结构并阐述其