虚拟机运行国产软件真的安全吗？

[0x6c696e71696e67]

国产软件大家都懂的，通常会在后台扫硬盘，但是工作，生活上也脱离不了这些软件，大多数有安全意识的都不会在实体机上安装，通常把这些软件放在虚拟机上运行，但是虚拟机也不是 100%安全的，如果软件检测到虚拟机环境，会不会利用已知的虚拟机漏洞入侵宿主机？或者是软件厂商发现了漏洞，也不上报给虚拟机厂商，而是偷偷使用这些漏洞，目前本人所知的虚拟机最出名的漏洞是虚拟机逃逸

[kaiki]

明目张胆搞这种事和木马就没什么区别了吧

[vk42]

虚机逃逸没有那么简单，主要是概念验证，只要你的虚拟机软件来源正经而且保持更新，基本可以不用考虑这个。不然云主机厂商早都破产了……

[wafm]

虚拟机逃逸的这种洞一般不会拿来做这种收益与成本不相符的事情

[0x6c696e71696e67]

@kaiki 以“如何防止虚拟机被检测到”作关键词搜一下，都会出现好多案例，都是被检测出虚拟机环境被禁止使用的，有的软件发现是虚拟环境而乖乖的不敢做其它事，说明一些厂商是会检测环境的，至于作不作恶，真的看不出

[0x6c696e71696e67]

@wafm 如果国内这些厂商是“奉旨”收集数据的，很难相信他们不会利用这些漏洞，而我们用虚拟机就是防止被他们收集数据的

[0x6c696e71696e67]

@vk42 官网下载的虚拟机，用第三方的密钥激活，这种算不算正经的？好多个人都是用这种方法的吧

[fline]

从解决问题的角度考虑，你能给出比虚拟机更安全的解决方案吗，如果不能的话，就算虚拟机不够安全，那也得用。

[vk42]

@0x6c696e71696e67
正经不正经看官方用户协议
另外你说的虚拟检测不算什么歪门邪道，大多数软件也是出于自我保护的目的。而且像 VMware 这类虚拟机是要刻意提供虚拟机特征字段用来检测的，可以参考 VMware 自己的官方 KB

[ysc3839]

当然是有这种风险的。如果你无法接受这种风险，那还是建议物理隔离。

[WebKit]

@0x6c696e71696e67 虚拟机被检测比虚拟机逃逸不是一个难度的。虚拟机利用一些特征很容易检测的

[jim9606]

基本上不是盯着你黑或者你有极高的攻击价值，都不值得动用虚拟机逃逸漏洞。

也不要觉得漏洞是万能的，没你想象中那么强大。

至于奉旨收集信息的问题，我不知道奉什么旨，以及收集啥？真要跟踪用户都用不着偷偷摸摸，明示不就行了，例如要求登录账户什么的，你用物理隔离都没用。

至于虚拟机来源问题，微软有提供专用镜像，实际上按照微软的 EULA 完全可以不激活。

[avrillavigne]

想太多系列。。

[delectate]

一般会有两个可能：
检测到是虚拟机，不运行恶意代码，乖巧温顺的像个小恶魔；
或者，利用 0day 漏洞逃逸，进而攻击 host 。这个可能性不太大，因为太明显了，但是不要小瞧，国内很多厂商，比如三个数字组的“派”厂就肯定能做。

[snnn]

那你直接运行 hyper-v 呗

[nosmile]

手里有虚拟机逃逸级别的漏洞，就为了偷你点个人信息？ naive

[opengps]

安全不安全另说，我知道非国产软件同样有问题

[hakono]

看这标题本来还以为开玩笑，结果看下来楼主你这简直是被害妄想症
先不说国内大部分软件公司有没有能力发现虚拟机逃逸漏洞，就当真发现了，发现了个逃逸漏洞然后广泛分发，目的就是为了收集信息？？“暴殄天物”也不带你这么做的。虚拟机作为现在所有云服务的基础，一个可以简单广泛大范围实用的逃逸漏洞，被你拿来收集信息，黑产听到可能得被你气到吐血吧。

[Kiriya]

用 win10 自带沙盒

[yujiang]

那就物理隔离，专门装台小一千的机器来运行这些流氓软件

[whypool]

就你那点个人信息真不值得，还上漏洞，高风险 0 收益真当公司是开慈善的