Question

我有2个应用程序，每个应用程序都在自己独立的MS Windows 7虚拟机（VM）上运行。作为解决方案的一部分，我无法为主机编写软件。我用Qt在C ++中编码。

这可能是不可能的，但我希望能够检测VM窗口何时具有焦点（不是应用程序窗口，而是VM）。这两个应用程序都是全屏应用程序（至少在VM中是全屏的），它始终具有应用程序窗口焦点，但我希望能够检测用户键盘输入将要访问哪个VM在敲击钥匙之前。

有什么想法吗？

Answer 1

没有 100% 的方法来识别 VM。但是有一些“指标”：

特定的“设备”、驱动程序、服务（vmmouse.sys、vmci、VBoxService.exe 等）
特定的注册表项、Windows 产品 ID、MAC 地址

所有这些方法都不可靠，但被广泛使用。

VMware 提供官方记录的 VM 检测方法 is here, (with code snippets)。有一种方法基于使用管理程序端口 0x5658（“VX”）和管理程序魔术 DWORD 0x564D5868，代表“VMXh”

bool IsVMWare()
{
  bool res = true;

  __try
  {
    __asm
    {
      push   edx
      push   ecx
      push   ebx

      mov    eax, 'VMXh'
      mov    ebx, 0 
      mov    ecx, 10 // get VMWare version
      mov    edx, 'VX' // port number

      in     eax, dx // read port
                     // on return EAX returns the VERSION
                     
      cmp    ebx, 'VMXh' // compare with target
      setz   [res] // set return value

      pop    ebx
      pop    ecx
      pop    edx
    }
  }
  __except(EXCEPTION_EXECUTE_HANDLER)
  {
    res = false;
  }

  return res;
}

另一种方法 - 测试 CPUID 管理程序 (HV) 存在位和 HV 供应商的名称：

bool IsVM()
{
    int cpuInfo[4] = {};

    //
    // Upon execution, code should check bit 31 of register ECX
    // (the “hypervisor present bit”). If this bit is set, a hypervisor is present.
    // In a non-virtualized environment, the bit will be clear.
    //
    __cpuid(cpuInfo, 1);
    

    if (!(cpuInfo[2] & (1 << 31)))
        return false;
    
    //
    // A hypervisor is running on the machine. Query the vendor id.
    //
    const auto queryVendorIdMagic = 0x40000000;
    __cpuid(cpuInfo, queryVendorIdMagic);

    const int vendorIdLength = 13;
    using VendorIdStr = char[vendorIdLength];

    VendorIdStr hyperVendorId = {};
    
    memcpy(hyperVendorId + 0, &cpuInfo[1], 4);
    memcpy(hyperVendorId + 4, &cpuInfo[2], 4);
    memcpy(hyperVendorId + 8, &cpuInfo[3], 4);
    hyperVendorId[12] = '\0';

    static const VendorIdStr vendors[]{
    "KVMKVMKVM\0\0\0", // KVM 
    "Microsoft Hv",    // Microsoft Hyper-V or Windows Virtual PC */
    "VMwareVMware",    // VMware 
    "XenVMMXenVMM",    // Xen 
    "prl hyperv  ",    // Parallels
    "VBoxVBoxVBox"     // VirtualBox 
    };

    for (const auto& vendor : vendors)
    {
        if (!memcmp(vendor, hyperVendorId, vendorIdLength))
            return true;
    }

    return false;
}

某些硬件检测方法的实施依赖于虚拟机如何模拟 CPU 行为这一事实。例如，使用缓存指令，如 wbinvd 和 invd，但它们是有特权的。

一些阅读更多的链接：

有一些有趣的文章 about VM & Sandbox detection 和一些代码示例。

我发现了一个 repository，其中一些方法是用 C 实现的。其中一些只能在 Windows 上使用，但也有一些跨平台的

Answer 2

那段代码应该完成工作

BOOL IsVMRunning()
{
#if _WIN64
    UINT64 time1 = __rdtsc();
    UINT64 time2 = __rdtsc();
    return ((time2 - time1) > 500);
#else
    unsigned int time1 = 0;
    unsigned int time2 = 0;
    __asm
    {
        RDTSC
        MOV time1, EAX
        RDTSC
        MOV time2, EAX
    }
    return ((time2 - time1) > 500);
#endif
}

C ++如何检测运行应用程序的虚拟机具有焦点

2 个答案: