虚拟机文件数据取证技术研究（三）

静态取证和动态取证各有自己的特点在真实的取证环境中建议采用动静结合的取证方法，采取双份镜像备份的思路、一份进行静态分析取证、一份进行动态加载取证动静结合方能提取出更多的信息。

十多年的龙凤网站建设经验，针对设计、前端、开发、售后、文案、推广等六对一服务，响应快，48小时及时工作处理。全网整合营销推广的优势是能够根据用户设备显示端的尺寸不同，自动调整龙凤建站的显示方式，使网站能够适用不同显示终端，在浏览器中调整网站的宽度，无论在任何一种浏览器上浏览网站，都能展现优雅布局与设计，从而大程度地提升浏览体验。创新互联建站从事“龙凤网站设计”,“龙凤网站推广”以来，每个客户项目都认真落实执行。

VMEM文件取证

VMEM 文件是VMware Workstation 虚拟机默认在运行中和暂停状态时产生的附属文件。其大小与虚拟机配置文件(.vmx) 中设定的虚拟物理内存大小相同其内容为与虚拟机客户操作系统所管理的内存数据。

通过简单的实验可以发现当虚拟机启动时就生成了一个VMEM 的临时文件。而当用户使用虚拟机的“暂停”功能时在虚拟机保存的路径下会生成一个与虚拟机名相同后缀名为“.vmem”的正常文件。虚拟机暂停所需保存的所有虚拟机客户操作系统的内存相关数据都保存到了该文件中且以一种虚拟机可以理解的结构和方式组织数据的保存(即按照虚拟机的“物理内存”顺序保存)VMEM 的这项功能在虚拟机的默认情况下是启用的。

对虚拟机内存文件进行取证可获得有价值的信息包括：操作系统的内核数据结构、进程、线程、堆中的数据以及用户的其他敏感信息如用户输入的密码、聊天信息、网页浏览信息等。

LOG文件取证

用户在虚拟机中的许多操作都记录在LOG文件中比如文件创建、USB接入、虚拟机运行的情况、操作系统基本信息、用户行为时间等。

日志文件为Plain text格式可通过日志文件的语义解析进行对日志文件中涉及到的操作进行分类筛选按照时间线进行对用户的行为进行分析取证。

在虚拟机进行取证时一定要注意：为了保证证据的原始性取证过程中遇到虚机文件不允许直接使用虚拟机软件加载。

分享题目：虚拟机文件数据取证技术研究（三）
标题URL：http://lszwz.com/article/cpgdih.html

其他资讯

售后响应及时

7×24小时客服热线

数据备份

更安全、更高效、更稳定

价格公道精准

项目经理精准报价不弄虚作假

合作无风险

重合同讲信誉，无效全额退款

乐山小谭建站工作室是一家专注从事于高品质视觉体验及互联网设计开发，乐山网站建设，乐山网站设计，乐山网页设计，乐山网站制作，品牌网站建设，营销网站建设，集团网站建设，企业网站建设，外贸网站建设，响应式网站建设，小程序开发，微信开发，企业形象设计，企业宣传视频等服务，小谭建站位于乐山市龙岗区大运软件小镇，小谭建站拥有经验丰富的高级网站建设工程师和一流的网页高端设计人员，具备各种规模与类型网站建设的雄厚实力，在网站建设领域树立了自己独特的设计风格。

友情链接交换友情链接

网络营销公司高端品牌网站建设成都广告制作云主机成都小程序开发网络推广公司成都花箱厂家成都模板网站瑞杰企业管理手机网站制作设计

Copyright © 2022 青羊区小谭信息技术咨询服务工作室乐山建站工作室 All Rights Reserved 蜀ICP备2021004003号-25

Copyright © 2022 青羊区小谭信息技术咨询服务工作室乐山建站工作室

蜀ICP备2021004003号-25