与TestDisk一起使用的AVHDX内部格式

Question

我似乎找不到这方面的任何信息。什么是内部的HyperV差分AVHDX文件格式，用于法医恢复？

也就是说:它只是像dd那样的直线块输出，但是在中间或头中有点实时元数据吗？或者主要数据是以某种方式被转换的？还是保存在已知的内部fs中，如NTFS或exFAT？如果我想直接打开一个AVHDX，而不想打开它的其他链，我应该告诉TestDisk什么？

最初的角色是第1代VM。

Answer 1

据规格称，

VHDX文件以固定大小的标头部分开始。在此之后，不重叠的对象和空闲空间不按特定顺序自由混合；唯一的限制是所有对象在文件中都有1MB对齐。当前定义的对象包括BAT区域(也称为BAT)、元数据区域、标头、日志、有效载荷块和扇区位图块。

但这也适用于AVHDX：

VHDX支持3种类型的虚拟硬盘:固定硬盘、动态硬盘和差分硬盘。所有三种类型的逻辑和物理布局都很相似.

但是，我不知道如何从文档的其余部分了解这是否类似NTFS、FAT或ReFS之类的内容。

也就是说，有些数据可以从PhotoRec的一个单独的AVHDX文件中恢复，而不是TestDisk (它们被捆绑在一起)在GUI模式下，但也可以在专家模式下恢复到具有4096块大小甚至512个块大小的CLI版本中。