1. 项目缘起为什么我们需要“去虚拟化”在虚拟化技术普及的今天VMware Workstation 16简称VM16是很多开发者、测试人员和爱好者搭建实验环境的首选工具。它稳定、功能强大能让我们在一台物理机上轻松运行多个操作系统。但有时候我们需要的不仅仅是“运行”而是“伪装”。这就是“去虚拟化”技术出现的场景。简单来说去虚拟化就是通过一系列技术手段修改虚拟机VM的硬件特征和软件行为让它看起来、运行起来更像一台真实的物理机。这听起来有点“黑客”的味道但其应用场景非常广泛且正当。比如某些专业软件或在线游戏会检测运行环境是否为虚拟机如果是则会拒绝运行或限制功能以防范批量作弊或盗版。再比如一些自动化测试或数据采集脚本如果目标网站或服务能轻易识别出请求来自虚拟机集群就可能触发风控机制导致IP被封。在这些情况下让虚拟机成功“隐身”就成了刚需。我最近就遇到了一个棘手的需求需要在VM16的Windows 7虚拟机里运行一个老版本的行业软件该软件使用了非常激进的虚拟机检测机制。直接安装后软件直接闪退日志里赫然写着“检测到虚拟环境”。为了解决这个问题我不得不深入研究VM16的去虚拟化过程中踩了不少坑也总结出一些真正有效的“干货”。今天分享的就是如何针对VM16虚拟机特别是Windows 7/10/11这类客户机进行相对深入的去虚拟化处理重点是修改那些容易被检测的“指纹”。2. 理解虚拟机的“指纹”检测方在看什么在动手之前我们必须先搞清楚对方是如何知道我们运行在虚拟机里的。虚拟机检测技术五花八门但核心思路都是寻找与物理机的差异。这些差异就是虚拟机的“指纹”。对于基于VMware的虚拟机常见的检测点包括2.1 硬件标识与特征这是最基础的检测层。虚拟机模拟的硬件有其特定的品牌、型号和序列号。CPU信息虚拟机CPU的制造商字符串、型号名称、支持的指令集特征CPUID与物理Intel/AMD CPU有显著区别。例如VMware的虚拟CPU品牌字符串通常包含“VMwareVMware”。主板与BIOS虚拟主板如VMware的440BX芯片组、BIOS供应商如“Phoenix Technologies LTD”、BIOS版本、系统制造商如“VMware, Inc.”和系统产品名称如“VMware Virtual Platform”都是明显的标志。硬盘与网卡虚拟SCSI或SATA控制器如“VMware Virtual SCSI”、虚拟网卡型号如“VMware Accelerated AMD PCNet”在设备管理器中一览无余。2.2 内存与指令行为更高级的检测会深入到内存管理和特定指令的执行结果。内存地址一些反虚拟机技术会尝试执行一些在虚拟机中会产生特定异常或不同结果的指令例如SIDT、SGDT、SLDT等指令读取系统表地址在虚拟机内外这些表的位置范围可能有规律可循。时间差通过执行高精度计时循环检测指令执行时间是否存在不自然的延迟或一致性这源于虚拟化层Hypervisor调度带来的开销。2.3 软件与注册表特征虚拟机中安装的驱动程序和系统服务会留下大量痕迹。设备驱动vmci.sys、vmxnet.sys、vmmouse.sys、vmhgfs.sys等VMware专属驱动文件和服务是铁证。注册表项Windows注册表中存在大量与VMware相关的键值例如在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services下查找驱动服务或在HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System中查看系统BIOS信息。进程与文件虚拟机内运行的vmwaretray.exe等进程以及存在于磁盘上的VMware Tools安装目录。2.4 网络与高级特性MAC地址VMware虚拟网卡的MAC地址前缀OUI是固定的如00:0C:2900:50:56通过查询MAC地址库很容易识别。虚拟机后台进程即使客户机内清理干净宿主机上运行的vmware-vmx.exe进程对应的虚拟机配置文件名也可能被一些通过宿主机检测的技术发现虽然这种情况较少。了解这些指纹我们的去虚拟化工作就有了明确的目标尽可能多地将这些特征修改或伪装成物理机的样子。3. 核心工具准备WinHEX与关键文件定位工欲善其事必先利其器。去虚拟化很大程度上是二进制文件编辑工作因此一个强大的十六进制编辑器是核心工具。这里我们选择WinHEX它功能强大可以直接编辑磁盘扇区是我们修改虚拟机固件文件的不二之选。注意使用WinHEX需要一定的十六进制和ASCII码基础操作前务必对关键文件进行备份。误操作可能导致虚拟机无法启动。我们的主攻目标是VMware的虚拟机配置文件。对于一个典型的VM16虚拟机其文件通常存储在一个目录下其中最关键的是.vmx文件虚拟机的核心配置文件文本格式定义了虚拟硬件的基本参数。.vmxf、.vmsd等辅助配置文件。*.vmdk文件虚拟磁盘文件存放客户机操作系统和数据。*.nvram文件或类似名称这个文件至关重要它包含了虚拟机的BIOS/EFI固件信息。我们要修改的很多硬件标识就深藏在这个二进制文件中。在VM16的默认设置下这个文件通常与虚拟机同名扩展名为.nvram。首先你需要关闭目标虚拟机。然后找到其存储目录。定位到.nvram文件这就是我们接下来要用WinHEX动手术的核心对象。将其复制一份作为备份然后使用WinHEX打开原文件。4. 实战修改深入.nvram文件与.vmx配置打开.nvram文件后你会看到满屏的十六进制代码。别慌我们不是漫无目的地搜索。虚拟机BIOS中的字符串信息通常以ASCII或Unicode格式明文存储。我们的策略是用WinHEX的搜索功能CtrlF寻找那些典型的VMware指纹字符串并将其替换为常见的物理机字符串。4.1 修改BIOS信息.nvram文件内在WinHEX中按下CtrlF选择“文本字符串”搜索模式依次搜索并替换以下内容。替换时务必保持新字符串长度不超过原字符串长度不足部分用空格0x20填充切勿使用00NULL填充否则可能破坏文件结构。系统制造商和产品名称搜索VMware, Inc.替换为American Megatrends Inc.这是一个常见的物理机BIOS厂商搜索VMware Virtual Platform替换为System Product Name或To be filled by O.E.M.这也是物理机常见值BIOS信息搜索VMware Virtual BIOS替换为Default System BIOS搜索Phoenix Technologies LTDVMware常用的BIOS供应商替换为American Megatrends Inc.主板序列号等搜索包含VMware的序列号、资产标签等字符串替换为一些看似随机的数字字母组合或者直接清空用空格填充。重要技巧替换后使用WinHEX的“替换”功能而不是手动删除再输入。确保“替换”对话框中的“填充剩余字节”选项是空格。修改完成后务必保存文件。4.2 修改.vmx配置文件.vmx文件是文本文件可以用记事本编辑。我们通过添加或修改一些参数来进一步欺骗检测。 在.vmx文件末尾添加以下几行# 禁用一些可能暴露虚拟化的BIOS特性 bios.bootDelay 0 bios.forceSetupOnce FALSE # 修改SMBIOS信息 (更底层对部分检测有效) smbios.reflectHost FALSE board.id Base Board board.serial SERIAL12345678 board.asset ASSET12345678 board.manufacturer ASUSTeK COMPUTER INC. board.product PRIME B460-PLUS hw.model Intel(R) Core(TM) i7-10700 CPU 2.90GHz serialNumber SERIAL98765432 # 尝试伪装CPU特征 (此选项不一定所有版本都支持但可尝试) cpuid.1.eax 0000:0000:0000:0001:0000:0110:1010:0101 # 这是一个示例值需根据真实CPU调整操作复杂且风险高初学者慎用提示hw.model和serialNumber等参数在某些游戏或软件的检测中非常关键。.vmx中的修改相对安全即使出错也容易恢复。但cpuid的修改是高级操作错误的数值会导致虚拟机无法启动或客户机系统蓝屏不建议新手尝试。4.3 修改网卡MAC地址前缀在.vmx文件中找到类似ethernet0.addressType generated的行。我们可以手动指定一个MAC地址。 将其修改为ethernet0.addressType static ethernet0.address 00:15:5D:XX:XX:XX # 或 00:50:56:XX:XX:XX00:15:5D是Microsoft Hyper-V的默认OUI00:50:56虽然是VMware的但后三位XX:XX:XX你可以设置为任意值避免冲突。更彻底的做法是使用一个真实的物理网卡OUI但这需要查询数据库且可能与其他真实设备冲突。对于大多数应用修改前三位已能绕过简单的MAC地址库检测。5. 客户机内部清理驱动、注册表与进程宿主机层面的修改只是第一步虚拟机内部的操作系统里留下的痕迹更多必须清理。5.1 卸载或伪装VMware Tools高风险需谨慎这是最有效也最危险的一步。VMware Tools提供的驱动和服务是最大的指纹。方案A保守保留VMware Tools但尝试重命名其相关服务和文件。这需要极高的权限和精细的操作极易导致系统不稳定或功能缺失如拖放、共享文件夹失效。方案B激进在设备管理器中找到所有“VMware”设备显示适配器、网络适配器、鼠标、内存控制器等右键选择“更新驱动程序” - “浏览我的电脑以查找驱动程序” - “让我从计算机上的可用驱动程序列表中选取”。然后尝试选择一个标准的、非VMware的驱动例如对于SVGA显示适配器尝试选择“标准VGA图形适配器”。此操作很可能导致显示分辨率异常、网络断开等问题仅适用于特定测试场景。个人建议对于必须运行VMware Tools以获得良好体验的场景如需要高分辨率、文件共享这一步可以酌情省略依赖外部修改和更强的检测对抗手段。很多检测软件并不深入到驱动模型层面。5.2 清理注册表指纹以管理员身份运行regedit谨慎地搜索并删除或修改与VMware相关的键值。操作注册表前务必导出备份关键位置包括HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\查找以VMTools、vmci、vmxnet等开头的服务项。不要直接删除可以将其Start值改为4禁用并将DisplayName修改为无关的名称。HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\查看SystemBiosVersion、VideoBiosVersion等如果包含VMware可以尝试修改字符串值。HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.整个键都可以考虑重命名或删除如果已卸载Tools。5.3 处理磁盘与控制器标识在设备管理器中IDE ATA/ATAPI控制器和磁盘驱动器可能显示为“VMware”品牌。对于磁盘可以尝试通过修改注册表来更改其标识定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\SCSI下的磁盘项修改FriendlyName等字符串值。但这项操作极其复杂且易错通常不是初级检测的目标。6. 高级对抗与动态检测绕过完成了静态修改我们还需要应对运行时检测。6.1 应对基于CPUID的检测一些强检测软件会直接读取CPUID指令结果。在VMware中可以通过.vmx文件更精细地控制返回给客户机的CPUID位。但这需要深厚的CPU架构知识。一个相对简单的方法是使用专门的“反反虚拟机”插件或修改过的vmware-vmx.exe核心文件。注意替换核心文件涉及版权和稳定性风险且需要关闭VMware所有相关进程操作复杂。更常见的做法是寻找针对特定软件的去虚拟化补丁或配置文件这些补丁通常包含了经过验证的、针对该软件检测点的.vmx参数集。6.2 处理时间戳检测对于高精度计时检测可以在.vmx文件中尝试添加# 禁用一些可能导致时间差异的优化 time.synchronize.continue FALSE time.synchronize.restore FALSE time.synchronize.resume.disk FALSE time.synchronize.shrink FALSE time.synchronize.tools.startup FALSE但这并不能完全消除虚拟化开销带来的时间差。最根本的对抗方式是让检测代码无法运行或无法获取真实时间这可能需要注入代码或使用调试器已超出普通去虚拟化范畴。6.3 内存与指令行为伪装这是最困难的领域通常需要修改虚拟机监控程序Hypervisor本身。对于普通用户几乎无法实现。我们能做的是确保我们的虚拟机有“合理”的内存大小不要设置成4GB、8GB这种过于规整的数字并且关闭VMware的一些高级特性如“加速3D图形”、“启用侧通道缓解”等这些特性有时会引入可检测的特征。7. 验证、测试与常见问题排错修改完成后不要急于运行你的目标软件。先进行系统性验证。启动测试启动虚拟机观察能否正常进入系统。如果卡在BIOS界面或黑屏很可能是.nvram文件修改错误。恢复备份文件。系统信息检查在客户机内运行msinfo32系统信息查看“系统摘要”“系统制造商”、“系统型号”、“BIOS版本/日期”是否已变为我们修改的内容。“处理器”信息是否仍然显示为“VMware”.vmx中对CPU型号的修改可能在此处不生效这取决于VMware版本和检测方式。设备管理器检查查看“计算机”、“处理器”、“磁盘驱动器”、“网络适配器”等是否还有明显的VMware字样。专用检测工具测试使用一些已知的虚拟机检测工具如“红队”常用的某些工具进行扫描看能否被识别。目标软件测试最后运行你的目标软件或游戏观察是否还会触发虚拟机检测。常见问题与排错问题虚拟机启动失败报错“此虚拟机的处理器所支持的功能不同于保存虚拟机状态的虚拟机的处理器所支持的功能”。原因这通常是因为你修改了.vmx中关于CPU的配置如cpuid.*参数或者宿主机的CPU特性发生了变化例如更新了BIOS或迁移了宿主机。解决最安全的方法是删除.vmx中你添加的所有cpuid.*行。如果问题依旧可以尝试在虚拟机设置中将“虚拟化引擎”下的“虚拟化Intel VT-x/EPT或AMD-V/RVI”选项取消勾选再重新勾选这相当于重置CPU虚拟化状态。如果还不行可能需要创建一个新的虚拟机将旧磁盘挂载过去。问题修改后VMware Tools功能失效如不能拖放文件、不能自适应窗口。原因这是清理内部驱动和服务的必然结果。解决如果该功能对你很重要那么你可能需要接受保留部分VMware特征。可以尝试只进行.nvram和.vmx的外部修改而不动客户机内部的驱动看看是否足以绕过检测。问题使用WinHEX搜索不到预期的字符串。原因不同版本的VMware、不同虚拟机配置如EFI vs BIOS生成的.nvram文件结构可能不同。字符串可能被压缩或编码。解决尝试搜索更短的关键词如“VMware”、“Phoenix”。也可以尝试在WinHEX中切换搜索模式如ANSI, Unicode。如果实在找不到说明该版本的指纹不在此处或者需要更高级的逆向分析手段。去虚拟化是一场猫鼠游戏没有一劳永逸的方案。今天有效的方法明天可能随着检测技术的升级而失效。本文分享的方法基于VM16和Windows客户机涵盖了从基础到中级的主要对抗点。核心思路是外部修改优先于内部清理静态伪装结合动态规避。对于绝大多数普通检测修改.nvramBIOS信息和.vmx中的硬件标识已经能解决80%的问题。更深入的操作请务必在测试环境中进行并做好完整的备份。记住我们的目的是让虚拟机更好地服务于工作和学习请在合法合规的范围内使用这些技术。
详解：从封装到实践，掌握面向对象编程核心)
