VirtualBox Disk Image (VDI)
| Format | VirtualBox Disk Image (VDI) |
|---|---|
| Kurzname | VDI |
| Kategorie | Datenträgerabbild |
| Plattformen | Windows, macOS, Linux |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Virtuelles Festplattenformat von Oracle VirtualBox. Auf einen 64-Byte-Text-Header (z. B. '<<< Oracle VM VirtualBox Disk Image >>>', ältere Varianten mit 'innotek' oder 'Sun') folgen die Signatur und ein Header mit Image-Typ, Datenträgergeometrie, einer Block Map und den UUIDs des Images, seines letzten Snapshots, des Links und des Parents. Dynamische Images belegen nur Blöcke, die geschrieben wurden; Snapshots werden als Differencing Images gespeichert, die ihr Parent-Image über die UUID referenzieren, für einen vollständigen Datenträgerzustand kann daher die gesamte Image-Kette nötig sein.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 3C 3C 3C 20 | <<< | Anfang des Text-Headers '<<< … VirtualBox Disk Image >>>' |
| Offset 64 (0x40) | 7F 10 DA BE | .... | Image-Signatur 0xBEDA107F (Little-Endian) |
Bekannte Dateiendungen
.vdi
Referenzen
- QEMU VDI block driver (source with header layout) https://github.com/qemu/qemu/blob/master/block/vdi.c
Diesen Eintrag zitieren
Crush-Format-Referenz, „VirtualBox Disk Image (VDI)“. https://kalink0.github.io/crush-forensics/formats/de/vdi/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden