【镜像取证篇】VMware虚拟机配置文件取证

​ 虚拟机取证中，通常主要关注.log、.vmdk、.vmem三个文件，里面包含虚拟机的大部分资料信息。—【suy】

测试环境

1、VMware® Workstation 16 Pro（V16.1.2 build-17966106）

2、Microsoft windows 11 专业版（V22000.282）

虚拟机挂起状态

虚拟机文件简介

序号	名称	内容	备注
01	.log	虚拟机-调试运行情况的日志记录；如文件创建、USB接入、虚拟机运行的情况、操作系统基本信息、用户行为时间等。	日志
02	.vmdk	虚拟机-虚拟磁盘文件，记录操作系统中所产生的全部数据。	磁盘
03	.vmem	虚拟机-内存文件。	内存
04	.vmsd	用于存储元数据和虚拟机快照文件的描述信息，信息包括UID编号、快照文件名、快照注释、执行快照的磁盘文件和快照总数等。初始大小为0字节，随着快照数的增加而持续增大。
05	.vmsn	虚拟机-建立快照时自动创建的文件，配合.vmsd文件使用	快照
06	.vmss	虚拟机-已挂起状态时的信息文件（虚拟机挂起状态才有！）
07	.vmx	虚拟机-硬件配置文件
08	.vmxf	虚拟机-附加配置文件
09	.nvram	储存虚拟机BIOS状态信息
10	.Ick	动态文件

1、log

​ vmware-0.log、vmware-1.log等用来记录vmware工作日志。

2、vmdk

​ 虚拟机虚拟磁盘文件，记录操作系统中所产生的全部数据。

3、vmem

​ 虚拟内存文件，同本地内存文件pagefile.sys（分页文件），包含了操作系统的内核数据结构、进程、线程、堆中的数据，以及用户的其他如用户输入的密码、聊天信息等敏感信息；正常虚拟机中的系统关机后，vmem文件就会消失；但虚拟机的系统在挂起状态时，该文件会保留在本地。

​ 【虚拟机-挂起状态】中[虚拟机名-xxx.vmem]和[虚拟机名-xxx.vmss]文件是成对出现的。

​ 【虚拟机-快照】中[虚拟机名-Snapshot快照名.vmem]和[虚拟机名-Snapshot快照名.vmsn]文件是成对出现的。

4、vmsd

​ 记录虚拟机快照的相关信息和元数据，把.vmsn和.vmdk记录一起。

5、vmsn

​ 虚拟机建立快照时自动创建的文件，根据快照数量自增，无快照则该文件没有。

6、vmss

​ 虚拟机-已挂起状态时的信息文件（虚拟机挂起状态才有！）

​ 【虚拟机-挂起状态】中[虚拟机名-xxx.vmem]和[虚拟机名-xxx.vmss]文件是成对出现的。

7、vmx

虚拟机-硬件配置文件

8、vmxf

​ 虚拟机-附加配置文件，记录虚拟机的辅助配置文件。

9、nvram

储存虚拟机BIOS状态信息，可不关注。

10、lck

​ 该目录是虚拟机系统在开机时自动创建的以.lck结尾的目录，作用是用于锁定vmx的文件夹，在虚拟机关机后会自动删除。也用于在虚拟机异常退出时为了保护虚拟系统的磁盘文件数据而保留的.lck结尾的文件及文件夹。

​ 在开启虚拟机系统时，如出现“虚拟机正在被使用，获取所有权的报错”，可将其删除，一般就可正常开启虚拟机。

总结

​ 越来越自动化取证的同时也要多学些基础原理。

名称	时间
开始编辑日期：	2021 年 11 月 01 日
最后编辑日期：	2021 年 11 月 01 日