虚拟机识别

虚拟机识别

虚拟机软件在模仿真机时会保留一些工作，例如特定的文件、进程、注册表项、服务、网络设备适配器等，通过它们可以帮助我们分辨虚拟机与真机。 检查CPU指令●CPUID 
该指令以EAX = 1作为输入执行，返回值描述处理器功能。在物理机器上的ECX位将等于0。访客VM将等于1。

●"Hypervisor brand"
通过设置EAX = 40000000，随后调用CPUID，将获得EAX，ECX，EDX中的虚拟化供应商字符串作为返回值。
例如：Microsoft: “Microsoft HV”，VMware : “VMwareVMware”。

●MMX
Intel指令集，旨在更快地处理图形应用程序。虚拟机通常不支持这些功能，因此如果不存在，可能表明程序正在VM中运行

●IN – "VMWare Magic Number"
参考资料： 微机原理
《INTEL 80386 PROGRAMMER'S REFERENCE MANUAL 1986》
8086为了区分访问内存和外设，硬件上有一个专门的引脚M/IO，指令集中则为访问外设单独提供了in/out指令。
《x86汇编---VGA显示》中为了关闭光标显示，有如下代码，这 两行代码读取外设 CRTC数据寄存器中的数据。
其中0x3D5为外设端口地址

在VMWare中，通过特定的I/O端口与主机进行通信。如果在VM中运行，下面的代码将成功执行，否则失败。

检查已知的Mac地址
MAC地址的前缀表示网络适配器的供应商。可以通过多种方式检索MAC地址，包括使用WMIC(wmic-> nic list)●00:05:69 (Vmware)●00:0C:29 (Vmware)●00:1C:14 (Vmware)●00:50:56 (Vmware)●08:00:27 (VirtualBox) 检查注册表
存在以下注册表项时表明存在虚拟化软件●HKLM\SOFTWARE\Vmware Inc.\\\Vmware Tools●HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\Scsi\Scsi Port 2\Scsi Bus 0\Target Id 0\Logical Unit Id 0\Identifier●SYSTEM\CurrentControlSet\Enum\SCSI\Disk&Ven_VMware_&Prod_VMware_Virtual_S●SYSTEM\CurrentControlSet\Control\CriticalDeviceDatabase\root#vmwvmcihostdev●SYSTEM\CurrentControlSet\Control\VirtualDeviceDrivers 检查vm进程
检查进程的方式很多：WMIC, Win API and CMD. WMIC (wmic -> process list), Win API (Process32First, Process32Next), and Tasklist.exe。●Vmware○Vmtoolsd.exe○Vmwaretrat.exe○Vmwareuser.exe○Vmacthlp.exe●VirtualBox○vboxservice.exe○vboxtray.exe 检查文件
如果发现系统中存在这些文件，则表明存在虚拟化软件。检索方式：WMIC，Win API和CMD。●VMware
C:\windows\System32\Drivers\Vmmouse.sys
C:\windows\System32\Drivers\vm3dgl.dll
C:\windows\System32\Drivers\vmdum.dll
C:\windows\System32\Drivers\vm3dver.dll
C:\windows\System32\Drivers\vmtray.dll
C:\windows\System32\Drivers\VMToolsHook.dll
C:\windows\System32\Drivers\vmmousever.dll
C:\windows\System32\Drivers\vmhgfs.dll
C:\windows\System32\Drivers\vmGuestLib.dll
C:\windows\System32\Drivers\VmGuestLibJava.dll
C:\windows\System32\Driversvmhgfs.dll●VirtualBox
C:\windows\System32\Drivers\VBoxMouse.sys
C:\windows\System32\Drivers\VBoxGuest.sys
C:\windows\System32\Drivers\VBoxSF.sys
C:\windows\System32\Drivers\VBoxVideo.sys
C:\windows\System32\vboxdisp.dll
C:\windows\System32\vboxhook.dll
C:\windows\System32\vboxmrxnp.dll
C:\windows\System32\vboxogl.dll
C:\windows\System32\vboxoglarrayspu.dll
C:\windows\System32\vboxoglcrutil.dll
C:\windows\System32\vboxoglerrorspu.dll
C:\windows\System32\vboxoglfeedbackspu.dll
C:\windows\System32\vboxoglpackspu.dll
C:\windows\System32\vboxoglpassthroughspu.dll
C:\windows\System32\vboxservice.exe
C:\windows\System32\vboxtray.exe
C:\windows\System32\VBoxControl.exe 检查运行的服务
是否正在运行以下进程，(WMIC->服务列表，sc.exe / query)●VMTools●Vmhgfs●VMMEMCTL●Vmmouse●Vmrawdsk●Vmusbmouse●Vmvss●Vmscsi●Vmxnet●vmx_svga●Vmware Tools●Vmware Physical Disk Helper Service