VMDK之动态扩展文件解析思路

    版权声明：对于本博客所有原创文章，允许个人、教育和非商业目的使用，但务必保证文章的完整性且不作任何修改地以超链接形式注明原始作者、出处及本声明。

    博客地址：http://blog.csdn.net/shuxiao9058

    原始作者：季亚

---

        请容许我发一点牢骚，本人小菜。起初，刚到公司时被公司研发部副总带到另外一个部门，说是搞数据分析的，但到那边后发现做的东西的确蛮不错的，只是害怕到那边后不让做C++相关方面的开发，所以还是对副总说对这个工作不是很喜欢，又说对于XX组比较感兴趣，才得以留下来做数据恢复工作。不知道以后还会做什么，心想不管做什么都要尽力吧。

        也就是刚进公司的那天下午，经理说给我一个项目做，就是研究以动态扩展方式生成的VMDK文件，将其解析成DD文件。

        于是，开始漫长的研究，起初脑袋有些大了。对于C++文件流的处理不是很熟悉，而且竟然也不是很知道seek函数与写文件时指针是动态移动的，呵呵，都说了嘛，我很菜的，不过我有一颗热爱学习的心。

        现在，功能已经基本实现，只是代码可能需要略加修改，为了方便他人以及对自己近期工作进行总结，于是把学习及解析的思想介绍一下，也算是本人即将踏入数据恢复的处女作吧（也不知道这算不算作品）。

一、 概述

       关于VMDK的资料还是蛮多的，主要有VMware官方提供的技术文档（点此下载）、Google Code中的一个格式说明文档（点此下载）和相关开源源码等。

二、 工具

       需要使用的工具主要有WinHex、FTK Imager、VMware 、010 Editor等，感觉现在对于WinHex使用的还不够熟悉。

三、 组成

       一个磁盘可由若干个link（姑且称之为链，如图1所示）或一个VMDK Extent文件（也就是实际存储数据的文件）组成。而且，一个link可由一个或多个扩展文件（extent file）组成（如图2所示），并通过descriptor file（姑且称之为描述文件）中的CID、parentCID记录链接起来。

图1 构成一个虚拟磁盘的链

图2 多个扩展文件（Extents）组成一个link

       一个extent就是一片物理存储区域，通常是指一个文件，被虚拟磁盘所使用。

       本文主要介绍如何将由多个扩展文件（Extents）构成的一个虚拟磁盘解析成DD文件。

三、 文件结构

       每个扩展文件（extent file）的内部格式完全相同，包括Sparse Header、Descriptor Header、Metadata、和Data Blocks等部分，