VT系列一:VT简述

[复制链接]

该用户从未签到

2380

主题

2433

帖子

9139

积分

管理员

Rank: 9Rank: 9Rank: 9

积分
9139
QQ
发表于 2018-7-15 15:42:23 | 显示全部楼层 |阅读模式

想要查看内容赶紧注册登陆吧!

您需要 登录 才可以下载或查看,没有帐号?立即注册

x

本文中出现的名词

虚拟机 客户机 GUEST 都是被监控的操作系统或应用程序

宿主机 HOST Hypervisor都是指监控虚拟机的“原”操作系统


VMM:当客户机发生退出事件时,进入的就是VMM

VM:当客户机正常运行时就是VM


VMM监控VM



1.什么是虚拟机?

20160908125033070.png

自己的理解是:运行在Hypervisor监控下的系统为虚拟机


以下内容摘自看雪论坛两个大牛


首先要说一下VMM(Virtual Machine Monitor),这个是虚拟机的监控器,监控着虚拟机的运行。比如虚拟机想执行一条指令:cpuid,这个时候被VMM捕捉到,然后VMM去模拟执行这条指令(模拟执行的意思是按我们自己的意愿去执行),然后返回给虚拟机,完成了一次vm exit。因为VMM需要执行ring0的指令,所以VMM需要运行在ring0下。
而VT使得CPU进入了一个全新的特殊模式(VMX模式),在这个模式下,CPU可以处于VMX root状态或者VMX non-root状态。处于VMX non-root操作状态下的CPU行为受到了某些方面的限制,关键的共享资源必须运行于VMX root操作状态的监控器的控制之下,并且,对于VMX non-root状态中的任何CPU特权都有效(只要处于VMX non-root状态,ring0 - ring3 都被监控)。因此,将VMM运行于VMX root操作状态,可以轻松监控管理客户操作系统(就是安装在虚拟机里面的操作系统)和客户应用程序(虚拟机里面操作系统里面安装的软件)。

                                                                                                                                                                        ----以上资料摘自看雪论坛海风月影


VT 技术方面, 因为VT技术比较新, 如果你对VT技术还不甚明白, 请先查看intel 文档. 中文不大好可以配合newbluepill那本书看, VT技术方面, 我使用它的下面几个特性.
重定向中断. 对于1号中断, 属于硬件中断, 我会在windows中搜索0x20一下的中断号给1号中断使用. 对于3号中断属于软中断, 随便在IDT中搜索一个空的就OK了.
MSR寄存器保护, 我在插件开启的时候会将MSR_IA32_SYSENTER_EIP 0x176 换掉, 换成我们实现的KiFastCallEntry. 在这里判断是否是我们需要出来的SSDT调用, 根据不同的SSDT调用我们转到不同的内核模块中. (我们重定位的模块, 或者是系统本身的模块)
VT技术还有很多特性, 比如CR寄存器访问, DR寄存器访问. 本来都想用上, 但是发现, 不行. 因为在CR寄存器访问, 和DR寄存器访问的时候, 我没有办法确定线程的运行上下文在那个进程, 线程环境中.. 所以针对Cr3的保护, 和DRx寄存器保护没有做.
另外还有一个比较遗憾的地方是, 本来我决定要给整一个无限断点的. 后面因为项目搁置没有弄. 另外一个是想写一个类似NewBluePill的内存隐藏. 如果给台硬件调试器, 可以试试.


                                                                                                                                            ----以上资料摘自看雪论坛Ddvp插件作者JoenChen



2.VT启动流程:


详细见:intel手册 31.5章







VMX退出原因指示器:记录了什么原因导致产生退出事件的(比如触发了CPUID)

VMCS:记录了导致退出事件时的一些信息(寄存器同上下文)






虚拟机状态保存区:记录了当发生退出事件时的信息 用于恢复虚拟机的状态或我们修改

宿主机状态保存区:略

虚拟机运行控制域:定义虚拟机什么情况下发生退出事件

其它省略



3.VMX相关汇编指令







VMREAD当虚拟机发生退出事件时,使用VMREAD读取发生退出事件时的上下文

VMWRITE当虚拟机发生退出事件时,如果需要按我们的意愿执行 则使用次指令修改相关参数

VMCALL一个让虚拟机主动发生退出事件的指令用于关闭VT时

VMLAUNCH:启动虚拟机 并将控制权交于虚拟机

VMRESUME:用于在宿主机中恢复虚拟机运行并将控制权交给虚拟机

VMXOFF:关闭虚拟机

VMXON:启用一些VMX 指令


下一章将将检测CPU是否支持虚拟化


回复

使用道具 举报

快速回复高级模式
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表