虚拟机中任何操作在退出虚拟机后真的完全消失了？那会不会给警察破案带来不便？

显示全部楼层 · 发表于 2012-11-28 13:11:59

感谢楼上几位朋友的解答！

显示全部楼层 · 发表于 2012-11-28 18:30:04

国内抓人什么都不要，只要想，你明天就会消失在这个世界上，谁都找不到你。

显示全部楼层 · 发表于 2012-11-28 19:29:50

没什么用，还原了也可以恢复的。和真实硬盘一样。

显示全部楼层 · 发表于 2012-11-28 22:06:14

freesoft00 发表于 2012-11-28 19:29
没什么用，还原了也可以恢复的。和真实硬盘一样。

怎样去恢复？

显示全部楼层 · 发表于 2012-11-28 22:30:12

其实最重要的证据不在本地，而在入侵的机器上。
这也是为什么黑客进行完所有操作后，要抹去包括日志在内的痕迹。

本地的话，相对于取证，虚拟机和实体机其实是一个概念。

显示全部楼层 · 发表于 2012-11-28 23:09:31

本帖最后由 freesoft00 于 2012-11-28 23:10 编辑

磁盘上的文件普通删除可以恢复吧。直接分析实体硬盘就可以，因为虚拟机删除的快照文件也在硬盘上，只是被删除了。
那vmware的快照也一样，这个文件有完整的磁盘分区结构，删除快照只是把这个文件删除了，而你的信息在这个文件中，把这个文件找回来分析也可以了。

显示全部楼层 · 发表于 2012-11-28 23:55:29

都找到你地址了也太失败了点

显示全部楼层 · 发表于 2012-11-29 09:56:38

重启虚拟机操作就消失了？你重启系统操作就消失了么？

显示全部楼层 · 发表于 2012-11-30 16:12:21

用硬盘精灵就可以把虚拟磁盘中的文件都给拷贝出来,再分析下不就出来了吗

显示全部楼层 · 发表于 2012-11-30 18:17:53

可以用TrueCrypt全盘加密，还要多找些肉鸡进行跳板攻击

[讨论] 虚拟机中任何操作在退出虚拟机后真的完全消失了？那会不会给警察破案带来不便？