探索VMware安全边界：vmw_vmx_overloader

探索VMware安全边界：vmw_vmx_overloader

vmw_vmx_overloaderLoading unsigned code into kernel in Windows 10 (64) with help of VMware Workstation Pro/Player design flaw项目地址:https://gitcode.com/gh_mirrors/vm/vmw_vmx_overloader

在这个数字化的时代，虚拟化技术已成为软件开发和测试的必备工具。VMware Workstation Pro/Player作为业界广泛使用的桌面虚拟机软件，以其稳定性和兼容性赢得了用户的信赖。然而，任何看似坚固的安全壁垒都有可能被打破。今天我们要介绍的开源项目——vmw_vmx_overloader，揭示了一种利用VMware Workstation设计缺陷在最新Windows 10系统中加载未签名代码到内核的技术。

项目介绍

vmw_vmx_overloader是一个PoC（Proof of Concept）项目，由开发者发现并公开了一个VMware Workstation Pro/Player的设计漏洞。这个漏洞允许普通用户通过篡改特定函数的方式，在不验证的情况下执行任意内核级代码，从而对系统的安全性构成潜在威胁。

项目技术分析

项目的核心在于VMware Workstation的"hypervisor"组件，这是一个嵌入在vmware-vmx.exe资源中的ELF可执行文件。它依赖于驱动程序vmx86.sys来加载这些用户模式的资源至内核模式，并通过设备IO控制进行通信。研究人员发现了其中的一个IO控制——VMX86_RUN_VM，这个控制会调用未经验证的函数。通过重写Host64ToVmm函数，可以实现内核级别的代码注入。

对于拥有管理员权限的用户，注入代码只需简单的OpenProcess、VirtualAllocEx、WriteProcessMemory和CreateRemoteThread操作。而对于标准用户，虽然过程稍复杂，但仍然可以通过影响环境变量SystemRoot的方式来实现DLL劫持。

项目及技术应用场景

这一技术的曝光，对于安全研究者来说是一次宝贵的教育机会，它提醒我们即使在看似安全的环境中，也有可能存在潜在的风险。此外，这也为系统审计和漏洞防御提供了新的视角。当然，这种技术也可以用于恶意攻击者的活动中，因此应当谨慎对待。

项目特点

1. 无签名代码内核执行：无需微软签名的驱动，即可加载代码至内核。
2. 跨平台：据初步调查，该漏洞可能影响Windows、macOS和Linux上的VMware Workstation。
3. 简单易用：对于管理员用户，只需要几个API调用就可以注入代码。
4. 风险警示：由于其潜在的危害性，项目作者提醒只有具备相关知识的用户才应尝试使用。

尽管VMware已经针对这个问题发布了VMSA-2017-0003安全公告，但这一项目依然引起了广泛关注，因为它挑战了我们对操作系统安全性的认知。无论你是技术爱好者还是安全专家，vmw_vmx_overloader都值得你去研究和探讨。让我们一起深入了解，保护我们的系统免受未知威胁。

vmw_vmx_overloaderLoading unsigned code into kernel in Windows 10 (64) with help of VMware Workstation Pro/Player design flaw项目地址:https://gitcode.com/gh_mirrors/vm/vmw_vmx_overloader