vmdk

關於VMDK格式:

一個VMDK文件代表VMFS在虛擬機上的一個物理硬盤驅動。所有用户數據和有關虛擬服務器的配置信息都存儲在VMDK文件中。

通常而言，VMDK文件容易比較大，所以，2TB大小的文件都不足為奇。正因為如此，他們被描述為“大的、塊級I/O模式”。任何用户數據變化或虛擬服務器配置變化，VMDK文件都要更新。由於VMDK沒有增量類型數據獲取功能，任何對文件的更改意味着整個文件需要重新備份。

1vmware workstation裏創建new virtual machine，到disk這一步時，選use an existing virtual disk，然後在下一屏Existing disk file瀏覽到你下載的這個.vmdk就可以使用了。

2.WinMount支持掛載 VMDK 磁盤文件到一個虛擬磁盤，可以很方便地讀取、修改、添加、刪除磁盤內容，並保存修改到原始VMDK文件中。WinMount支持將虛擬機硬盤鏡像VHD(VirtualPC)、VDI(Virtual Box)、VMDK(VMWare)掛載為虛擬磁盤，並提供只讀和可寫兩種打開方式。

為了使用VMware更強大的功能，VMDK容器一般需要存放在共享存儲上。在主機硬盤上不大可能會找到VMDK容器。

要找到相應的VMDK的位置，可以使用vSphere內嵌的“Maps”標籤頁

該Maps視圖顯示了虛擬機和對應的包含該虛擬機VMDK容器的存儲介質之間的關係。

我們既然已經知道了VMDK容器的位置，我們需要創建一個運行虛擬機的快照。創建一個快照從字面上理解就是將虛擬機的父磁盤凍結。當創建一個快照時，一個新的子磁盤會被創建同時所有的寫操作都會轉到該子磁盤中，這樣父磁盤就處於一個靜止的狀態。另外，父磁盤(*flat.vmdk)本質上是一個物理磁盤的抽象，因此，他相當於（以dd或者原始格式）進行逐位複製。簡而概之，在取證的時候我們總是想要逐位複製，因為這可以提供已分配和未分配的磁盤空間。如果是傳統的對物理硬盤的文件拷貝，那隻會提供已分配的磁盤空間，如此一來你就不能恢復那些已經刪除的文件。 ^[1]