美亚柏科技术分享WindowsVHDX虚拟硬盘如何取证.docx
- 文档编号:509196
- 上传时间:2022-10-10
- 格式:DOCX
- 页数:10
- 大小:396.18KB
美亚柏科技术分享WindowsVHDX虚拟硬盘如何取证.docx
《美亚柏科技术分享WindowsVHDX虚拟硬盘如何取证.docx》由会员分享,可在线阅读,更多相关《美亚柏科技术分享WindowsVHDX虚拟硬盘如何取证.docx(10页珍藏版)》请在冰豆网上搜索。
美亚柏科技术分享WindowsVHDX虚拟硬盘如何取证
WindowsVHDX虚拟硬盘如何取证
随着虚拟环境的企业工作负荷的增加以及性能要求的提高,虚拟硬盘(VHD)格式需要适应这些变化。
WindowsServer2012和Windows8中引入了一个新版本的VHD格式,称为VHDX。
目前市面上国内外知名取证软件均还不支持VHDX取证。
如果遇到VHDX虚拟硬盘文件我们该如何取证呢?
今天小编就带大家了解VHDX文件是如何生成的以及在目前取证软件还不支持的情况下如何进行VHDX取证。
VHDX文件是怎么生成的呢?
一般情况下有两种方式可以生成VHDX文件。
方式一:
windows8或是windowsserver2012以上的系统,在磁盘管理界面可以直接生成VHDX文件。
操作方法如下:
(1)在“磁盘管理”上点右键,选择“创建VHD”
(2)会弹出如下设置窗口
(3)设置好“位置”“大小”“格式”“类型”点击“确定”即可完成VHDX创建。
方式二:
使用WindowsServer2012及以上的系统使用Hyper-V虚拟化技术创建的虚拟硬盘。
(1)打开Hyper-V管理器
(2)点击“新建”选择“硬盘”
(3)在“选择硬盘格式”中可选择“VHDX”
(4)按操作提示设置好相应的选项后,即可创建好VHDX虚拟硬盘。
VHDX虚拟硬盘如何取证?
因为取证软件暂时不支持VHDX直接加载取证,在这里我给大家介绍两种方法,希望能给大家取证VHDX带来帮助。
方法一:
需要找一台WindowsServer2012或Windows8及以上的系统,以只读形式加载,然后通过加密狗形式取证大师对虚拟硬盘进行解析。
操作方法如下:
(1)在“磁盘管理”上点右键,选择“附加VHD”
(2)在弹出的窗口中选择好对应的VHDX文件,并勾选只读以免破坏源始数据。
(3)加载好后,磁盘管理中会显示出该磁盘。
(4)使用取证大师加载分析
(5)下图为分析时算出的硬盘MD5值
方法二:
如果您取证设备只有Windows7,无法找到WindowsServer2012或Windows8及以上操作系统的电脑。
此时我们可以使用取证魔方或其他自带不拆机复制引导U盘的设备,找个其它电脑通过U盘引导进入Windows8PE系统然后加载磁盘,到时可以直接使用魔方分析,也可以把VHDX镜像下来,再使用取证塔或是其它取证设备分析。
操作方法如下:
(1)使用不拆机复制引导U盘引导进入Windows8PE系统
(2)通过“开始”菜单,“计算机管理”打“开磁盘管”。
(3)在“磁盘管理”上点右键选择“附加VHD”。
操作方法请参考方法一。
(4)此次我们是在Windows8PE环境下把VHDX磁盘做成镜像
(5)同样我们把镜像加载到取证大师算出了磁盘的MD5值
(6)分析结果如下图所示:
以上就是今天分享的在无法直接加载分析的现状下,VHDX取证的2种方法。
附:
本文中使用的工具为美亚柏科自主研发的取证魔方、取证塔及取证大师,也可用其他对应工具替代。
目前,取证大师已经完美支持VHD格式的虚拟硬盘取证,美亚柏科研发团队也已在分析VHDX,相信不久,取证大师就可以直接加载VHDX文件分析了。
若您想要了解更多技术或者产品相关内容也可与美亚柏科联系,拨打免费服务电话400-888-6688或关注美亚柏科服务之星(微信号:
my-support),当然也可直接在公众平台留言。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 美亚柏科技术分享Windows VHDX虚拟硬盘如何取证 美亚柏 科技 分享 Windows VHDX 虚拟 硬盘 如何 取证
![提示](https://static.bdocx.com/images/bang_tan.gif)