带 EPT 钩子的简单 x86-64 VT-x 虚拟机管理程序
Gbhv 是一个简单、强大的 64 位 Windows 基础的 VT-x 虚拟机框架,是为帮助学习如何开发和使用英特尔的 VT-X 硬件虚拟化技术而编写的一个演示。
本项目基于原始的Blue-Pill超级管理程序技术,该技术会颠覆正在运行的裸机操作系统,将其转换为一个由超级管理程序控制的虚拟化系统。在运行在另一个操作系统之上的情况下,超级管理程序能够完全破坏系统的完整性,通过拦截操作系统执行的任何特权操作和内存访问。例如,Windows 会尝试使用内置的保护机制PatchGuard来验证系统的完整性,防止被恶意软件修改。为了展示硬件辅助超级管理程序技术的威力,GBHV利用VT-X的功能来隐蔽代码修改,从而避免被PatchGuard检测。使用这种技术,GBHV可以钩挂或修改正在运行的操作系统的任何函数或数据,而不会触发安全或完整性保护,这使其成为操作系统安全研究中一个强大的工具。
Gbhv 附带了一个预编译的驱动程序,可以直接使用(请参阅 release/)。此驱动程序通过使用 EPT 影子钩子 来钩取 NtCreateFile API,以阻止所有以 test.txt 为子字符串的文件为对象的用户模式 API。上图示例中,试图创建名为 test.txt 的文件,而超级管理程序会截获并拒绝该进程访问。您需要使用附带的 OSRLOADER.EXE 驱动程序加载器或使用 sc 命令加载。
英特尔的硬件辅助虚拟化技术（最初称为Vanderpool，后来更名为VT-X/VMX）是一组处理器特性，它们在不使用模拟的情况下为虚拟化的操作系统提供支持。在运行现代操作系统的 x86 处理器的典型环保护设计中，有两个主要运行环：高权限内核模式环（环 0）和低权限用户模式。
暂无开放 Issues，或尚未同步最近议题。