VMDK救援

原作:OSSLab thx 2010 1.20

OSSLab windows 主機遭人裝上木馬 這台VM 主機於 2009 年底時我就有發現不對勁,因此就給與關閉 平常也懶修他,沒想到發生這樣事 有人要求給連線與掃毒記錄

小弟自作聰明的把原有VMDK file 導入到新Win 2003 VM 內 再做掃毒
沒想到出了二個問題

1.原有中毒 win2003 VM disk 有快照(為了存證 2010,1,16 有做快照)   導入時 只能引用原有母VMDK file 磁碟映像檔 , 所以在另外一個VM 掃描沒用!

2.糟高的是 把vmdk 導入別的VM後 再想用原來中毒VM 開機 出現

 The parent virtual disk has been modified since the child was created

 只是Scan 而已 沒做任何寫入動作 卻出現如此問題
 
這是因為vmdk file 導入新VM內 CID會被修改...檔案實質上沒被動過...

解決方法
http://phorum.study-area.org/index.php?topic=54707.0

如果不止一個快照檔  這邊再說清楚一點 vmdk 快照指引導架構

原始母 描述檔 win2003.vmdk  (後面絕不會有delta -00000數字 那會是快照檔)
真實 Disk 映像檔為 ":win2003-flat.vmdk

# Disk DescriptorFile
version=1
CID=829ab81d
parentCID=ffffffff (母vmdk file 必為ffffffff)
createType="vmfs"

# Extent description
RW 83886080 VMFS "win2003-flat.vmdk" (對應的真實磁碟映像檔)

------------------------------------------------------------------------

打開 win2003-000004-delta.vmdk  (delta 為快照指引檔)
如下

# Disk DescriptorFile
version=1
CID=5d635ed0
parentCID=5d635ed0  (母CID  從下得知要對應   win2003-000005 指引檔的CID )
createType="vmfsSparse"
parentFileNameHint="win2003-000005.vmdk"        
# Extent description
RW 83886080 VMFSSPARSE "win2003-000004-delta.vmdk"   (對應的真實磁碟映像檔)


--------------------------------------------------------------------------------------------
win2003-000005-delta.vmdk  內的內容

# Disk DescriptorFile
version=1
CID=5d635ed0                     (注意此為此 win2003-000005-delta.vmdk CID)
parentCID=829ab81d
createType="vmfsSparse"
parentFileNameHint="win2003-000003.vmdk"
# Extent description
RW 83886080 VMFSSPARSE "win2003-000005-delta.vmdk"
-----------------------------------------------------------------------------------------


從這我們可以看出這個快照述檔為 win2003-000004-delta.vmdk 但是上面快照檔為何為 win2003-000005.vmdk  這是因為快照分支問題
像我快照檔多 會比較混亂

win2003-000004母快照檔為 win2003-000005.vmdk    
那win2003-000004 的parentCID就要改為 win2003-000005.vmdk的CID
 

--------------------------------------------------------------------------------
再來抓下vmx 檔看一下 像

scsi0:0.fileName = "win2003-000007.vmdk"

就要從win2003-000007.vmdk 對應回去看一下  parentCID 是否有誤

反正最後那個快照檔就要從那個修改修改回去對應正確母快照檔 每個檔案都有關聯性 如果有錯誤都要修正

修改工具 個人建議用 Winscp  
http://winscp.net/eng/docs/lang:cht

注意 先把該VM內所有vmdk 指引倒 先備份傳下來 (很小)
再用winscsp 直接edit 修改就可 非常方便