☰

取证 - 使用 VMWare Player 或 VirtualBox 扫描客户操作系统 (WinXP) 和主机操作系统 (Win7 64) 中的文件

tag-icon • tag-icon virtualbox malware vmware-player forensics
取证 - 使用 VMWare Player 或 VirtualBox 扫描客户操作系统 (WinXP) 和主机操作系统 (Win7 64) 中的文件

我有一台感染了病毒的 Windows XP 笔记本电脑；病毒已被清除，但网络连接被破坏。我从 USB 密钥启动到 Ubuntu，以便在系统和网络之间移动文件。我还使用 VMWare 转换器将系统转换为虚拟机，现在我在 Windows 7 64 位主机上运行它。虚拟机非常稳定；我不想让它访问主机上的网络或资源，以防系统上有未发现的恶意软件。我希望能够从主机访问客户虚拟硬盘并对其进行扫描；完成后，能够将文件从主机移出虚拟环境。

有没有办法使用 VMWare Player 或 VirtualBox 从主机安全地访问客户虚拟硬盘？我已经从 Player 下的客户操作系统安装了工具。

还 -有没有比这种方法更好的存档和分析现有系统的方法？目的更多的是能够拥有一个可控的环境来诊断各种类型的恶意软件，而不是拥有源的逐位相同的存档。我希望能够在客户操作系统上打开网络并通过嗅探器路由它，以了解漏洞的工作原理。

总结一下我所寻找的内容：
1）立即解决方案，能够访问 VM 硬盘，就像我可以从运行 USB 驱动器的 Ubuntu 访问物理系统以移动文件一样。2
）能够使用主机上的病毒扫描工具扫描虚拟驱动器。3
）长期来看，想出一种安全分析受感染系统的技术。

谢谢！

答案1

安全是一件困难的事情。

请记住，所有病毒在执行之前都不会造成危害，所以只要您不运行任何东西（为了安全起见，甚至不要使用 Windows 资源管理器，因为单击文件可以生成预览，并且从技术上讲，如果查看程序存在漏洞，则有可能执行病毒）。

对于 Linux，遵循本指南- 您可以提取并获取将 VMWare 硬盘（.VMDK 文件）安装到本地文件系统所需的工具。然后，您可以使用任何病毒扫描程序对其进行扫描，就像它是本地文件一样。

为了将来的使用，我个人要么使用专门用于此任务的机器，要么设置一个新的 VM 并正常安装所有内容（包括防病毒软件），然后您只需添加额外的虚拟硬盘驱动器（或使用 USB 直通的物理硬盘驱动器）并从 VM 进行扫描。

希望这可以帮助。

答案2

在 Windows 上，您也可以安装 VMDK，然后使用主机系统上可能已有的任何防病毒软件运行扫描。

您应该在程序文件下的 vmware 文件夹中找到 vmware-mount。

vmware-mount [驱动器号：] [vmdk 路径] [选项]

相关内容