アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

VHDディスクの仕様

VHD ディスクについて Google で検索していたのですが、マイクロソフトからファイルフォーマットに関する仕様が公開されているんですね。RTF形式の文書がダウンロードできます。

Virtual Hard Disk Image Format Specification
http://technet.microsoft.com/en-us/virtualserver/bb676673.aspx

バーチャル ハード ディスク イメージ フォーマット仕様
http://www.microsoft.com/japan/windowsserversystem/virtualserver/techinfo/vhdspec.mspx

残念ながら日本語の文書では提供されておらず、英語の資料だけみたいです。
この資料にある Hard Disk Footer Format によると、VHD ディスクイメージではフッタにイメージファイルの作成日時やイメージファイルのタイプなどの情報が記録されているみたいですね。興味深いのは、イメージ作成日時がタイムスタンプとしてフッタに存在するところですが、以下のように記載されています。

Time Stamp
This field stores the creation time of a hard disk image. This is the number of seconds since January 1, 2000 12:00:00 AM in UTC/GMT.

通常のファイルシステムなどで使っているタイムスタンプ形式ではなく、開始時刻と精度(分解能)が2000年1月1日 00:00:00(UTC )時刻からの秒カウントした値を4バイトで保存しているみたいですね。