【磁盘镜像仿真常见错误】
2024-10-9 08:1:0 Author: mp.weixin.qq.com(查看原文) 阅读量:12 收藏

来源：DFIR蘇小沐

1

实验环境

2023AFS39.E01（Windows11系统镜像）
Arsenal Image Mounter，[v3.10.262]
Vmware Workstation 17 Pro，[v17.5.1]
Windows 11 专业工作站版，[23H2（22631.3447）]

1

（一）

虚拟机报错：物理磁盘已被使用

【无系统界面：物理机本机系统环境导致的虚拟机功能报错】

此处主要是物理机本机系统环境配置等导致的虚拟机报错，一般是直接启动虚拟机就提示各种报错，并无法进入到磁盘系统镜像的任何界面。

1

物理磁盘已被使用

虚拟机配置完成，启动虚拟机时直接报错："物理磁盘已被使用，打不开盘"xxx"或它所依赖的某个快照磁盘。模块"Disk"启动失败。未能启动虚拟机。"
物理磁盘已被使用。
打不开盘"E:\VM2023AFS\2023AFS.vmdk"或它所依赖的某个快照磁盘。
模块"Disk"启动失败。未能启动虚拟机。

2

资源监视器：查找占用进程

快捷键Win+R打开运行，输入"resmon"进入资源管理器。

资源监视器中选择"CPU"，在关联的句柄中输入被占用的"磁盘/分区盘符+英文冒号"查询。

【路径：资源监视器->CPU->关联的句柄】

直接管理器结束占用的任务（一般不需要重启电脑，但可能需要重启VM虚拟机）。结束占用的程序后再刷新可看到磁盘不再被占用。

我这个是因为Listary最新版更新了自动索引功能，导致的磁盘占用。

2

（二）

界面常见报错：No Media、unsuccessful

系统界面报错：虚拟机配置过程镜像出错

挂载磁盘镜像，按步骤创建好虚拟机后，能进入创建好的虚拟机系统界面。
其实系统界面报错很明显了：当时一直忽略了这个重要信息，这个并非是物理机本机系统环境出错，而应该是创建磁盘镜像虚拟机时选择的参数出错，不然进不了镜像的系统配置界面。以下是常遇到的进不了系统界面的截图，常见界面报错有"NUME：No Media"、"SATA：No Media"、"SATA：unsuccessful"等。

1

NUME：No Media

2

SATA：No Media

 

3

SATA：unsuccessful

3

（三）

计算机系统镜像挂载报错Volume Shadow Copy
原因是：Windows操作系统中的"Microsoft Software Shadow Copy Provider"和"Volume Shadow Copy"这两项服务未开启。报错如下：

开启"管理卷影复制"服务
可以直接搜索服务，进入到服务管理页面开启相关服务。

1

启动"Microsoft Software Shadow Copy Provider"服务

"Microsoft Software Shadow Copy Provider"功能描述：启动"管理卷影复制服务"，管理卷影复制服务制作的基于软件的卷影副本。如果该服务被停止，将无法管理基于软件的卷影副本。如果该服务被禁用，任何依赖它的服务将无法启动。

开启"Microsoft Software Shadow Copy Provider"服务，并设置为自动启动。

2

启动"Volume Shadow Copy"服务

"Volume Shadow Copy"功能描述：管理并执行用于备份和其它用途的卷影复制。如果此服务被终止，备份将没有卷影复制，并且备份会失败。如果此服务被禁用，任何依赖它的服务将无法启动。（必要时设置开机自启）

开启"Volume Shadow Copy"服务，并设置为自动启动。

4

（四）

【扩展】VMware挂载物理磁盘提示被占用
【扩展】如果是物理机本地创建的虚拟机（非镜像挂载）提示磁盘被占用可尝试以下方法
VM虚拟机挂载本地物理磁盘、虚拟机镜像数据位置发生移动等提示被占用的解决方法 。当vmware启动时，提示物理磁盘已被使用，模块“disk”启动失败，未能启动虚拟机。（操作前先备份数据！！！数据无价，实验都是使用的数据副本来操作）

1

删除.lck的文件或者文件夹

删除.lck的文件或者文件夹。

2

修改.vmx文件

找到虚拟机所在的目录，将 .vmx文件打开，将文件vmci0.present = "TRUE"改为 vmci0.present = "FALSE"。

将文件vmci0.present = "TRUE"改为 vmci0.present = "FALSE"。

3

关闭虚拟机镜像所在盘的pagefile.sys文件

模块“disk”启动失败可能的原因是磁盘上面有pagefile.sys文件，这个是windows的页面文件，只要windows启动，一直会被占用。

【路径：右击桌面我的电脑->属性->高级系统设置->高级->性能设置->高级->虚拟内存更改->把vmdk所在的磁盘分区文件设置为无，重启电脑即可】

（1）查看高级系统设置

【路径：右击桌面我的电脑->属性->高级系统设置->高级->性能设置->高级->虚拟内存更改->把vmdk所在的磁盘分区文件设置为无，重启电脑即可】

进入到系统属性的高级设置，点击性能设置，进入性能设置的高级设置，再点击虚拟内存更改。

【路径：系统属性->高级->（性能）设置->高级->（虚拟内存）更改】

（2）去掉"自动管理所有驱动器的分页文件大小(A)"

去掉勾选虚拟内存的"自动管理所有驱动器的分页文件大小(A)"，主要是对磁盘系统镜像所在的分区的虚拟内存进行更改设置。

去掉显示。如果磁盘系统镜像所在的分区是系统分区（一般是本机的C分区），记得点击虚拟内存的"设置"应用，不然可能更改不成功。

（3）重新启动计算机

要使系统属性改动生效，需要重新启动计算机。


文章来源: https://mp.weixin.qq.com/s?__biz=MzAwNDcwMDgzMA==&mid=2651047932&idx=2&sn=158fc0c94f504df7c0a812921fa04042&chksm=80d0880db7a7011b9874c91cfda5953b9376131e706ec94e2d603f83158d6e037b6b2d20130c&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh