-
-
[原创]检测虚拟鸡的那些方法-0x00
-
发表于: 2019-5-20 18:05
-
天字号杀手第0x00名：利用#VMEXIT会强制刷新TLB
原理：修改页表但是不要刷TLB，发生
#VMEXIT 时hypervisor会帮你刷TLB（intel快出来接锅）
——今天，你刷了吗？
注意事项1：对type-2 hypervisor，即hyperplatfrom ksm hyperbone那类 “我 虚 拟 我 自 己”的hypervisor无效
原因：“我 虚 我 自 己 的”
hypervisor都会设置VPID=host的ProcessorID，发生#VMEXIT之后host的
ProcessorID
跟guest的VPID仍然相同，因此CPU不会强制刷新TLB
ps：不知什么原因大数字厂的hvm没有设置VPID所以仍然能被这种方法检测到
注意事项2：AMD的L2 cache会在核心之间共享data和code，所以一般来说本方法只适合intel system
代码：没有，so that big hands can not copy-paste
装逼时刻：
——今天，你刷了吗？
注意事项1：对type-2 hypervisor，即hyperplatfrom ksm hyperbone那类 “我 虚 拟 我 自 己”的hypervisor无效
原因：“我 虚 我 自 己 的”
hypervisor都会设置VPID=host的ProcessorID，发生#VMEXIT之后host的
ProcessorID
跟guest的VPID仍然相同，因此CPU不会强制刷新TLB
ps：不知什么原因大数字厂的hvm没有设置VPID所以仍然能被这种方法检测到
注意事项2：AMD的L2 cache会在核心之间共享data和code，所以一般来说本方法只适合intel system
代码：没有，so that big hands can not copy-paste
装逼时刻：
——今天，你刷了吗？
注意事项1：对type-2 hypervisor，即hyperplatfrom ksm hyperbone那类 “我 虚 拟 我 自 己”的hypervisor无效
注意事项1：对type-2 hypervisor，即hyperplatfrom ksm hyperbone那类 “我 虚 拟 我 自 己”的hypervisor无效
原因：“我 虚 我 自 己 的”
hypervisor都会设置VPID=host的ProcessorID，发生#VMEXIT之后host的
ProcessorID
跟guest的VPID仍然相同，因此CPU不会强制刷新TLB
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
最后于 2019-5-20 18:05
被hzqst编辑
，原因：
|
|
|---|---|
|
|
|
|
|
|
|
|
围观一下
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
刀来是什么梗，难道你想拿大黄狗下酒么：（ |
|
|
已阅
|
|
|
hyperplatfrom和ksm设置VPID = KeGetCurrentProcessorNumberEx(nullptr) + 1应该没问题, 但是hyperbone的VPID应该是全部设置为1吧。这样不会导致TLB刷新吗
|
