虚拟机检测与反检测相关

虚拟机软件的漏洞和虚拟机执行环境的检测与反检测（一）

虚拟机软件的漏洞和虚拟机执行环境的检测与反检测（二）

vmware的检测与反检测

检测虚拟机汇编代码

漏洞法检测虚拟机

虚拟机检测技术剖析

检测源码：

#include <windows.h>#include <stdio.h>BOOL gInVMWARE, gInVirtualPC;BOOL VMWareTest(){BYTE PortValue1,PortValue2;__try{    __asm    {      pushad       pushfd      xor ebx,ebx      mov ecx,0xa       mov eax, 'VMXh'        ; EAX=magic    //564D5868      mov dx, 'VX'            ; DX=magic      in eax, dx            ; specially processed io cmd      cmp ebx, 'VMXh'        ; also eax/ecx modified (maybe vmw/os ver?)      sete al;    movzx eax, al      mov gInVMWARE, eax;      popfd      popad    }}__except(EXCEPTION_EXECUTE_HANDLER){    gInVMWARE=FALSE;}return gInVMWARE;}BOOL VirtualPCTest(){__try{    __asm    {      pushad            mov ebx, 0 // Flag      mov eax, 1 // VPC function number      __emit 0Fh      __emit 3Fh      __emit 07h      __emit 0Bh      test ebx, ebx    sete al    movzx eax, al      mov gInVirtualPC , eax;      popad    }}__except(EXCEPTION_EXECUTE_HANDLER){    gInVirtualPC=FALSE;}return gInVirtualPC;}BOOL VMTest(){    ULONG xdt = 0 ;    ULONG InVM = 0;    __asm    {        push edx            sidt [esp-2]            pop edx            nop            mov xdt , edx    }    printf("idt = %08x\n" , xdt);    if (xdt > 0xd0000000)    {        //printf("IDT Test :running in vm!\n");        InVM = 1;    }    else    {        InVM = 0;    }    __asm    {        push edx            sgdt [esp-2]            pop edx            nop            mov xdt , edx    }        printf("gdt = %08x\n" , xdt);        if (xdt > 0xd0000000)    {        InVM += 1;    }    else    {        InVM += 0;    }    return InVM;}int main(){    if (VMWareTest())    {        printf("In Vmware !!!");    }    else if (VirtualPCTest())    {        printf("In VirtualPC!!!!");    }    else if (VMTest())    {        printf("In VM !");    }    else    {        printf("In Host!");    }        getchar ();    return 1;}

过虚拟机中Themida检测方法：
两步可以通吃很多Anti-vmware的方法

第一步是在虚拟机系统的配置文件添加 

monitor_control.restrict_backdoor = "true"

关闭后门

第二步建议开起虚拟机,然后虚拟机 - 设置 - Hardware - Processors - 禁止加速二进制翻译勾起

或添加

disable_acceleration = "TRUE"

其它参考：

http://forum.eviloctal.com/thread-31834-1-1.html