[发明专利]操作系统虚拟仿真取证的方法

权利要求书

1.一种操作系统虚拟仿真取证的方法，其特征在于，所述的方法包括以下步骤：

（1）将虚拟操作环境下虚拟机中待虚拟仿真取证的磁盘文件格式挂载到服务主机上，具体包括以下步骤：

（1.1）挂载待虚拟仿真取证的物理磁盘或磁盘镜像；

（1.2）获取虚拟机的工作始点，具体包括以下步骤：

（1.2.1）判断所述的物理磁盘或者所述的磁盘镜像是否为只读模式；

（1.2.2）如果所述的物理磁盘或者所述的磁盘镜像为只读模式，则判断所述的虚拟机是否存在快照；

（1.2.3）如果所述的虚拟机存在快照，则根据从上次离开的地方继续工作，然后继续步骤（1.3）；

（1.2.4）如果所述的虚拟机先前未被启动，则继续步骤（1.3）；

（1.2.5）如果所述的物理磁盘或者所述的磁盘镜像不为只读模式，则继续步骤（2）；

（1.3）创建虚拟机vmx配置文件；

（2）在虚拟机关机的状态下获取虚拟机的静态信息。

2.根据权利要求1所述的操作系统虚拟仿真取证的方法，其特征在于，所述的步骤（1.1）具体为：

挂载待虚拟仿真取证的支持以USB接口加载的物理磁盘或挂载待虚拟仿真取证的支持以文件形式加载的磁盘镜像。

3.根据权利要求2所述的操作系统虚拟仿真取证的方法，其特征在于，所述的步骤（2）具体包括以下步骤：

（2.1）判断所述的虚拟机中是否存在mbr文件；

（2.2）如果所述的虚拟机中存在mbr文件，则读取所述的mbr文件后，启动虚拟机；

（2.3）如果所述的虚拟机中不存在mbr文件，则采用预先定制的mbr文件修复启动主扇区，然后继续步骤（1.2）。

4.根据权利要求3所述的操作系统虚拟仿真取证的方法，其特征在于，所述的步骤（2.1）具体包括以下步骤：

（2.1.1）判断所述的虚拟机中是否存在vmware工具集；

（2.1.2）如果所述的虚拟机中存在vmware工具集，则判断所述的虚拟机是否存在操作密码；

（2.1.3）如果所述的虚拟机不存在操作密码，则判断所述的虚拟机中是否存在mbr文件；

（2.1.4）如果所述的虚拟机中存在mbr文件，则返回所述的虚拟机中存在mbr文件的结果；

（2.1.5）如果所述的虚拟机中不存在mbr文件，则返回所述的虚拟机中不存在mbr文件的结果；

（2.1.6）如果所述的虚拟机存在操作密码，则更改注册表破解所述的虚拟机的密码，然后继续步骤（2.1.8）；

（2.1.7）如果所述的虚拟机中不存在vmware工具集，则继续步骤（2.1.8）；

（2.1.8）读取所述的mbr文件后，启动虚拟机。