一种针对ESXi虚拟化系统的取证分析方案.pdfVIP

电子取证

一种针对ESXi虚拟化系统的

取证分析方案

梁学舟肖鑫恒”谢国云？郭绍维？欧焊欢?

2.广东省清远市公安局刑警支队

1.广东省连州市公安局刑侦大队

摘要：随着虚拟化技术的广泛应用，针对ESXi虚拟化系统的电子数据取证已成为公安机关案件侦办的重要环节。然而，传

统取证工具因无法识别ESXi特有文件系统，无法绕过密码验证及恢复虚拟机等，导致电子数据提取分析效率低下。

本文通过系统性实验研究，提出一种针对ESXi虚拟化系统的取证技术方案，通过物理镜像制作、密码破解、NFS共

享挂载及虚拟机注册等方法，有效解决了ESXi系统取证中密码验证、数据存储识别及虚拟机恢复等关键问题，为虚

拟化环境下的电子数据取证提供了新的技术路径。

关键词：ESXi电子数据取证系统仿真虚拟化技术

了分析研究，摸索出一种通过特定软件工具进行手工绕

引言密、提取数据的取证技术，填补了ESXi虚拟化环境取证方

在案件侦办所遇到的计算机检材中，除了常见的面的技术空白。

Windows、Linux、MacOS操作系统外，还有一类是虚拟

一、ESXi简介

化系统，如ESXi。在工作实践中发现，针对安装了ESXi虚

拟化系统的检材，若使用常见的取证软件，通常会遇到无（一）系统整体架构

法正确识别文件系统、无法读取系统数据文件、无法在仿ESXi是安装在物理主机上的操作系统，ESXi6.0及以

真过程中实现自动绕密等问题，使得从ESXi虚拟化系统中前的版本只能通过私有客户端进行管理，而ESXi6.0以后

快速获取电子证据成为了技术难题。目前，国内针对这方的版本可支持通过Web浏览器进行访问管理。在管理后台

面取证的研究文献相对较少。本文针对上述痛点难点进行创建和运行的多个虚拟机实例，可以共享ESXi系统下的计

64警察技术2025年第4期

算、存储等硬件资源12。ESXi虚拟化系统还提供了特有的取安装了ESXi系统的主机后，首先通过对原始存储介质制

虚拟网络组件，该组件可以使在虚拟环境中运行的虚拟作物理镜像的方式，进行数据保全，并通过计算、比较原

机，像在物理环境中的计算机一样实现联网，从而允许各始介质和物理镜像哈希值的方式，保证其数据一致可信。

个虚拟机之间相互连接，或是允许将虚拟机连接到ESXi系在检验时，只对镜像文件甚至镜像文件的副本进行分析操

统以外的物理网络。在取证分析过程中，可以通过管理后作，从而保证原始检材中的数据不被篡改破坏。图2为整

台查看各虚拟机网络组件配置情况，以还原和研判各个虚体取证分析流程图。

拟机之间的相互作用。在ESXi虚拟化系统中呈现出来的数

制作物理镜像

据存储空间，是各类物理存储资源组合的虚拟表示。这些安装了ESXi6系统的检材ESXi6镜像

物理存储资源可以来自本地物理主机磁盘，也可以来自远

手工绕密

特定工具查看数据

程网络存储。数据存储取证过程中分析研判的关注方向，