QEMU Copy-On-Write Disk (QCOW)
| Format | QEMU Copy-On-Write Disk (QCOW) |
|---|---|
| Kurzname | QCOW |
| Kategorie | Datenträgerabbild |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
QEMU-Copy-On-Write-Disk (QCOW Version 1, QCOW2 Versionen 2 und 3). Beginnt mit 'QFI' 0xFB und der Version, gefolgt von einem Header, einer zweistufigen Cluster-Tabelle (L1/L2) und Refcount-Tabellen. Cluster werden beim Schreiben zugewiesen und können komprimiert sein. Ein Image kann interne Snapshots enthalten, seine Daten in einer externen Datei ablegen oder ein Overlay einer Backing-Datei sein, sodass sich der Inhalt des Datenträgers auf beide Dateien verteilt. Kann mit LUKS oder dem älteren AES von QEMU verschlüsselt sein. Verwendet von KVM/libvirt, Proxmox, OpenStack und GNS3 sowie vom Android Emulator, der die Nutzerdaten eines virtuellen Geräts als QCOW2-Overlay ablegt (userdata-qemu.img.qcow2).
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 51 46 49 FB | QFI. | QCOW-Magic 'QFI' 0xFB, gefolgt von der Version (1, 2 oder 3) |
Bekannte Dateiendungen
.qcow, .qcow2
Referenzen
- The QCOW2 Image Format (QEMU docs/interop/qcow2.rst) https://www.qemu.org/docs/master/interop/qcow2.html
- QEMU Copy-On-Write file format — format documentation (libyal/libqcow) https://github.com/libyal/libqcow/blob/main/documentation/QEMU%20Copy-On-Write%20file%20format.asciidoc
- ForensicsWiki — QCOW image format https://forensics.wiki/qcow_image_format/
- abrignoni/ewfprobe — pure-Python reader for EWF (E01, S01, Ex01, L01), AFF/AFF4, AD1 and virtual/Apple disk images https://github.com/abrignoni/ewfprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „QEMU Copy-On-Write Disk (QCOW)“. https://kalink0.github.io/crush-forensics/formats/de/qcow/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden