VMware Virtual Disk (VMDK)
| Format | VMware Virtual Disk (VMDK) |
|---|---|
| Kurzname | VMDK |
| Kategorie | Datenträgerabbild |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (RawImageVFS) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Virtuelle Festplatte von VMware. Eine Disk ist ein Text-Deskriptor ('# Disk DescriptorFile'), der einen oder mehrere Extents benennt: sparse ('KDMV', älteres ESX 'COWD'), stream-optimized (komprimiert, wie in OVA/OVF-Exporten), flat (die Bytes des Datenträgers unverändert) oder SESPARSE. Diese sind in die Datei des Deskriptors eingebettet oder liegen daneben, oft in 2-GB-Teile aufgeteilt. Ein Snapshot ist eine Delta-Disk, die nur die Änderungen seit ihrer Eltern-Disk enthält; der Inhalt des Datenträgers verteilt sich über die Kette. Verwendet von VMware Workstation, Fusion und ESXi sowie von VirtualBox. Snapshots und angehaltene VMs haben neben der Disk .vmem- und .vmsn-Dateien, die den Arbeitsspeicher der VM enthalten.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 4B 44 4D 56 | KDMV | Magic eines Sparse Extents 'KDMV' |
| Offset 0 (0x0) | 43 4F 57 44 | COWD | Älteres ESX-Sparse-Extent (COWD) |
| Offset 0 (0x0) | 23 20 44 69 73 6B 20 44 65 73 63 72 69 70 74 6F 72 46 69 6C 65 | # Disk DescriptorFile | Eigenständige VMDK-Deskriptordatei |
Bekannte Dateiendungen
.vmdk
Referenzen
- VMware Virtual Disk Format (VMDK) — format documentation (libyal/libvmdk) https://github.com/libyal/libvmdk/blob/main/documentation/VMWare%20Virtual%20Disk%20Format%20(VMDK).asciidoc
- ForensicsWiki — VMware Virtual Disk Format (VMDK) https://forensics.wiki/vmware_virtual_disk_format_(vmdk)/
- abrignoni/ewfprobe — pure-Python reader for EWF (E01, S01, Ex01, L01), AFF/AFF4, AD1 and virtual/Apple disk images https://github.com/abrignoni/ewfprobe
Diesen Eintrag zitieren
Crush-Format-Referenz, „VMware Virtual Disk (VMDK)“. https://kalink0.github.io/crush-forensics/formats/de/vmdk/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden