钱伟，沙晶

（上海辰星电子数据司法鉴定中心公安部第三研究所信息网络安全公安部重点实验室，上海200035）

VMware虚拟磁盘结构分析及在电子数据取证中的应用

钱伟，沙晶

（上海辰星电子数据司法鉴定中心公安部第三研究所信息网络安全公安部重点实验室，上海200035）

详细分析了VMware的虚拟磁盘结构，并针对电子数据取证中的磁盘镜像虚拟加载、虚拟机数据迁移、虚拟磁盘文件的搜索和虚拟磁盘数据的鉴定与恢复等实际问题提出相应的解决方案。

虚拟机；磁盘；电子数据；取证

Abstract：This paper gave a detailed structural analysis of VMware virtual disk and corresponding solutions to problems emerged in electronic data examination，like virtual disk image loading，data migration of virtual machines，files search on virtual disk，examination and restoration of virtual disk data.

Key words：virtual machine；disk；electronic data；electronic evidence

1 引言

计算机虚拟技术是通过软件来模拟计算机硬件的技术。目前，物理计算机的计算量、存储量有了非常大的进步。计算机上安装了虚拟机之后可以在一台机器上模拟出多台机器的效果，能完成架设多计算机服务程序、隐蔽网络访问等需求，因此，越来越多的数据以及服务被存储和移植到了虚拟计算机上。随之带来的针对虚拟机的数据恢复与取证需要对虚拟机磁盘结构有一定的了解。本文详细分析了最常用的VMware虚拟机磁盘的文件结构并阐述其在电子数据取证中的应用。

2 VMware虚拟磁盘结构概述

VMDK（Virtual Machine Disk）是VMware虚拟机存储虚拟磁盘镜像的一种文件格式，虚拟机磁盘文件代表了虚拟机的存储卷，它以.vmdk后缀命名。

VMware虚拟磁盘有两个关键的特征：

1）虚拟磁盘可能使用包含在同一个文件中的后备存储器，也可能使用包含许多更小文件集合的存储。

2）所有虚拟磁盘所需的磁盘空间可能在虚拟磁盘创建的时候被分配，也可能从小开始、逐步增大来容纳更多的数据。……