Windows Imaging Format (WIM / ESD)

Format	Windows Imaging Format (WIM / ESD)
Kurzname	WIM
Kategorie	Archiv
Plattformen	Windows
Crush Unterstützung	Noch nicht unterstützt
Status	Überprüft
Zuletzt überprüft	2026-10-05

Forensische Relevanz

Dateibasiertes Image-Format für Windows-Installationsmedien, Deployment- und Backup-Images. Eine WIM kann mehrere Images enthalten, jedes ein vollständiger Verzeichnisbaum mit NTFS-Metadaten wie Zeitstempeln, Security Descriptors und benannten Datenstreams, dazu XML-Metadaten pro Image; identische Inhalte werden nur einmal gespeichert. ESD-Dateien verwenden dasselbe Format mit LZMS-Solid-Kompression. Mit WIMBoot (ab Windows 8.1) können Dateien auf einem Volume Zeigerdateien sein, deren Inhalt in einer WIM liegt.

Signaturen

Offset	Hex	ASCII (nicht druckbar als .)	Beschreibung
Offset 0 (0x0)	4D 53 57 49 4D 00 00 00	MSWIM...	Header-Magic 'MSWIM'

Bekannte Dateiendungen

.wim, .esd, .swm

Referenzen

wimlib documentation https://wimlib.net/man1/wimlib-imagex.html
wimlib header.h (source with header layout) https://github.com/ebiggers/wimlib/blob/master/include/wimlib/header.h

Diesen Eintrag zitieren

Crush-Format-Referenz, „Windows Imaging Format (WIM / ESD)“. https://kalink0.github.io/crush-forensics/formats/de/wim/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden