直接扫描虚拟磁盘映像文件（VMware/VirtualBox/VHD/E01）

DiskDigger 的虚拟磁盘支持：业界领先

在所有主流数据恢复工具中，DiskDigger 是少数能直接扫描虚拟磁盘映像文件的——不需要启动虚拟机，不需要挂载，直接把 .vmdk、.vdi、.vhdx、.e01 等文件喂给 DiskDigger 就行。

这对 IT 运维、安全取证、虚拟机故障排查来说特别有用：

• 虚拟机的虚拟磁盘文件直接在宿主机上被扫描，速度比启动虚拟机后扫描快得多
• EnCase E01 文件是数字取证行业的标准，DiskDigger 可以直接扫描取证镜像里的已删除数据
• 加密的虚拟磁盘（TrueCrypt/VeraCrypt）解密后也能扫

支持的虚拟磁盘格式

操作步骤

步骤 1：准备虚拟磁盘文件

找到你的 .vmdk 或其他虚拟磁盘文件。确保它没有被任何虚拟机正在使用——正在运行的虚拟机会锁定这个文件，DiskDigger 可能读不了。关闭对应的虚拟机（不是只暂停，要完全关闭）。

步骤 2：DiskDigger 里选中虚拟磁盘文件

启动 DiskDigger → 驱动器列表里默认只会显示物理驱动器，虚拟磁盘文件不会自动出现。需要手动：

1. 在驱动器选择页面，找"Open disk image"或类似按钮（不同版本界面略有差异）
2. 在文件对话框里找到你的 .vmdk / .vdi / .vhdx 文件，选中打开
3. DiskDigger 会把它当作一个物理磁盘来处理，进入扫描模式选择

步骤 3：选择扫描模式

虚拟磁盘文件的文件系统状态决定了选哪个模式：

步骤 4：跟普通磁盘一样扫描恢复

选好模式后，后续步骤跟扫描普通物理磁盘完全一样——扫描、浏览结果、预览、选中恢复。恢复出来的文件要保存到另一个位置（不能保存回虚拟磁盘文件所在的硬盘——因为扫描虚拟磁盘文件时 DiskDigger 是在宿主机的物理磁盘上读取的，保存位置必须是独立的物理空间）。

VMware VMDK 的特殊情况

VMware VMDK 文件有两种类型：

• 独立盘（single-file）：整个虚拟磁盘就是一个 .vmdk 文件，直接喂给 DiskDigger 就行
• 分离盘（split）：虚拟磁盘被拆成了多个 .vmdk 文件（xxx.vmdk + xxx-s001.vmdk + xxx-s002.vmdk...）。DiskDigger 需要选中主文件（xxx.vmdk），它会自动读取后续的分卷

警告：不要手动拼接 VMDK 分卷文件——DiskDigger 自己知道怎么处理。

EnCase E01 取证映像

DiskDigger 能直接扫描 EnCase 的 E01 取证格式——这在数据恢复工具中非常罕见。E01 是执法机构和数字取证分析师的标准镜像格式，通常带有压缩和校验。DiskDigger 能正确解析它并直接扫描里面的已删除数据。

这意味着：如果你有一份 E01 取证映像，不需要把它转换成原始磁盘映像再扫描，直接用 DiskDigger 打开就行。

性能注意事项

虚拟磁盘文件可能很大（几百 GB 甚至 1TB）。DiskDigger 扫描虚拟磁盘时的性能取决于：

• 宿主机磁盘的读写速度：虚拟磁盘文件在宿主机的物理磁盘上，DiskDigger 的每一次扇区读取都是对宿主机磁盘的一次 IO
• 宿主机内存：扫描需要把元数据加载到内存（500MB/百万文件）
• Deflate 压缩的 VMDK/VHDX：有些虚拟磁盘用了压缩，DiskDigger 读取时需要实时解压——这个过程比较吃 CPU

如果宿主机磁盘是机械硬盘（HDD），扫描大虚拟磁盘可能会很慢。换 SSD 会快很多。

加密虚拟磁盘

所有加密的虚拟磁盘都需要先解密挂载，然后 DiskDigger 扫描解密后的物理磁盘卷——不能直接加密状态下扫。

到这里，分场景恢复实战组的 10 个页面就完成了。接下来进入第四组：扫描结果与筛选。