Как найти виртуальное устройство

Как определить, что вы работаете под виртуальной машиной?

901  


12  

Большая часть исследований по этому вопросу посвящена обнаружению так называемых атак “голубых таблеток”, то есть вредоносного гипервизора, который активно пытается уклониться от обнаружения.

Классический трюк для обнаружения виртуальной машины состоит в том, чтобы заполнить ITLB, выполнить инструкцию, которая должна быть виртуализирована (что обязательно очищает такое состояние процессора, когда он дает управление гипервизору), а затем выполнить еще немного кода, чтобы определить, заполнен ли ITLB. Первая бумага на нем расположена здесь , а также довольно красочное объяснение из блога исследователя и альтернативная обратная ссылка на статью блога (Images broken).

Суть обсуждения этого вопроса заключается в том, что всегда есть способ обнаружить вредоносный гипервизор, и гораздо проще обнаружить тот, который не пытается скрыть.

Red Hat имеет программу, которая определяет, под каким (если таковые имеются) продуктом виртуализации она работает.: virt-what.

Использование стороннего поддерживаемого инструмента, такого как это-лучшая долгосрочная стратегия, чем попытка свернуть свою собственную логику обнаружения: больше глаз (тестирование против большего количества продуктов виртуализации) и т. д.

Более эмпирический подход заключается в проверке известных драйверов устройств виртуальной машины. Вы можете написать запросы WMI, чтобы найти, скажем, адаптер дисплея VMware, дисковод, сетевой адаптер и т. д. Это было бы удобно, если бы вы знали, что вам нужно беспокоиться только об известных типах узлов виртуальных машин в вашей среде. Вот пример выполнения этого в Perl, который может быть перенесен на язык по вашему выбору.

Это зависит от того, что вы ищете:

• Если виртуальная машина не скрывается от вас специально, вы можете использовать какой-нибудь известный крючок. Например, поиск драйверов VmWare или наличие определенных строк в памяти или некоторых других контрольных знаков.

• Если виртуальная машина действительно хочет, чтобы вы делали для нее специальные вещи, у нее будет какой-то очевидный крюк, например, изменение идентификатора процессора или добавление некоторых специальных регистров, к которым вы можете получить доступ, чтобы обнаружить его. Или особый устройство в известном месте в памяти (предполагая, что вы можете получить необработанный доступ к физическому пространству памяти вашего мира). Обратите внимание, что современные машины, такие как IBM Power6 и Sun UltraSparc T1/T2, всегда работают с гипервизором и никогда не работают непосредственно на необработанном оборудовании. Интерфейс к “аппаратному обеспечению”, которое использует ОС, на самом деле является интерфейсом программного уровня гипервизора, без возможности обойти его. В этом случае обнаружение тривиально, так как это постоянное “да”. Это наиболее вероятно будущее направление для всех компьютерных систем, которые могут позволить себе накладные расходы, посмотрите на поддержку в последних проектах, таких как Freescale qoriq p4080 chip, например (www.freescale.com/qoriq).

• Если виртуальная машина намеренно пытается скрыться, а вы преследуете ее присутствие, это игра в кошки-мышки, где нарушение синхронизации и различный профиль производительности виртуальной машины почти всегда будут выдавать его. Очевидно, это зависит от того, как реализована виртуальная машина и сколько аппаратная поддержка существует в архитектуре (я думаю, что мэйнфрейм zSeries намного лучше скрывает присутствие виртуальной машины или стека виртуальных машин под вашей конкретной ОС, чем обычная x86-машина, например). См. http://jakob.engbloms.se/archives/97 для некоторого обсуждения этой темы. Можно попытаться спрятаться как виртуальная машина, но обнаружение, скорее всего, всегда выиграет, если оно будет достаточно сильно стараться.

В большинстве случаев, вы не должны пытаться. Вас не должно волновать, если кто-то запускает ваш код в виртуальной машине, за исключением нескольких конкретных случаев.

Если вам нужно, в Linux наиболее распространенным способом является просмотр /sys/devices/virtual/dmi/id/product_name, в котором будет указано имя ноутбука/материнской платы в большинстве реальных систем и гипервизора в большинстве виртуальных систем. dmidecode | grep Product – Еще один распространенный метод, но я думаю, что для этого Требуется root-доступ.

Один хороший пример-это, по-видимому, выполнение запроса WMI для производителя материнской платы, и если он возвращает “Microsoft”, вы находитесь в виртуальной машине. Думал, я считаю, что это только для VMware. Есть, вероятно, различные способы сказать для каждого программного обеспечения узла виртуальной машины.

Эта статья здесь http://blogs.technet.com/jhoward/archive/2005/07/26/407958.aspx у есть несколько хороших предложений и ссылок на пару способов определить, находитесь ли вы в виртуальной машине (VMWare и VirtualPC, по крайней мере).

Вы можете определить, находитесь ли вы в виртуальной машине, посмотрев на MAC-адрес вашего сетевого подключения. Xen, например, обычно рекомендует использовать определенный диапазон адресов 00: 16: 3e: xx:xx: xx.

Это не гарантируется, поскольку администратор системы должен указать, какой MAC-адрес ему нравится.

Здесь есть (java + windows) решение для определения того, является ли базовая машина физической или виртуальной.

Примеры Виртуальных Машин:

Изготовитель

• Xen
• Корпорация Майкрософт
• innotek GmbH
• Красная Шляпа

[16]}VMware, Inc.

Модель

• HVM domU
• Виртуальная Машина
• VirtualBox
• KVM

• VMware Virtual Платформа

  import java.io.BufferedReader;
  import java.io.InputStreamReader;
  import java.util.ArrayList;
  import java.util.List;
  
  public abstract class OSUtil {
  
  public static final List<String> readCmdOutput(String command) {
      List<String> result = new ArrayList<>();
  
      try {
          Process p=Runtime.getRuntime().exec("cmd /c " + command);
          p.waitFor();
          BufferedReader reader=new BufferedReader(
                  new InputStreamReader(p.getInputStream())
                  );
          String line;
          while((line = reader.readLine()) != null) {
              if(line != null && !line.trim().isEmpty()) {
                  result.add(line);
              }
          }
      } catch (Exception e) {
          e.printStackTrace();
      }
  
      return result;
  }
  
  public static final String readCmdOutput(String command, int lineNumber) {
      List<String> result = readCmdOutput(command);
      if(result.size() < lineNumber) {
          return null;
      }
  
      return result.get(lineNumber - 1);
  }
  
  public static final String getBiosSerial() {
      return readCmdOutput("WMIC BIOS GET SERIALNUMBER", 2);
  }
  
  public static final String getHardwareModel() {
      return readCmdOutput("WMIC COMPUTERSYSTEM GET MODEL", 2);
  }
  
  public static final String getHardwareManufacturer() {
      return readCmdOutput("WMIC COMPUTERSYSTEM GET MANUFACTURER", 2);
  }
  
  public static void main(String[] args) {
      System.out.println("BIOS Serial: " + getBiosSerial());
      System.out.println("Hardware Model: " + getHardwareModel());
      System.out.println("Hardware Manufacturer: " + getHardwareManufacturer());
  }
  }
  

Вы можете использовать выходные данные, чтобы решить, является ли это виртуальная машина или физическая машина:

Физический выход машины:

BIOS Serial: 2HC3J12
Аппаратная Модель: Inspiron 7570
Производитель Оборудования: Dell Inc.

Вывод виртуальной машины:

BIOS Serial: 0
Аппаратная Модель: Innotec GmBH
Производитель Оборудования: Virtual Box

Если виртуальная машина хорошо выполняет свою работу, она должна быть невидима для клиента, что она виртуализируется. Однако можно посмотреть и на другие подсказки.

Я бы предположил, что поиск известных драйверов или программного обеспечения, специфичных для среды виртуальной машины, был бы наилучшим возможным способом.

Например, на клиенте VMWare под управлением Windows, vmxnet.sys будет сетевым драйвером, отображаемым как VMware accelerated AMD PCNet Adapter.

В Android Studio 3.0 вы можете найти виртуальное устройство в

AVD Manager

Каталог.
вы можете найти значок директории AVD Manager на панели инструментов студии Android или найти его, нажав на

Tools and click on AVD Manager

И там придет вариант создать виртуальное устройство.

Ответ принят как подходящий