虚拟机运行国产软件真的安全吗？

[0x6c696e71696e67]

国产软件大家都懂的，通常会在后台扫硬盘，但是工作，生活上也脱离不了这些软件，大多数有安全意识的都不会在实体机上安装，通常把这些软件放在虚拟机上运行，但是虚拟机也不是 100%安全的，如果软件检测到虚拟机环境，会不会利用已知的虚拟机漏洞入侵宿主机？或者是软件厂商发现了漏洞，也不上报给虚拟机厂商，而是偷偷使用这些漏洞，目前本人所知的虚拟机最出名的漏洞是虚拟机逃逸

[xcstream]

虚拟机逃逸有这个可能性 但是低于被楼上花盆砸中的几率

[yzkcy]

这帖子感觉是故意引战的吧？

[Cooky]

你要是担心就在虚拟机里再套一层虚拟机（

[Jirajine]

@al0ne 这个有点厉害，这种手法直到今天依旧有效，尤其是考虑到国家可能掌握了一些可用于中间人的 CA 证书。
起码做到一些比较容易的防御措施：
1. 绝对不在宿主机上运行任何国产软件。
2. TLS 不完全可信，软件不自动更新并且下载内容额外校验（很多包管理工具已经自动这么做了）
3. 在自己网络部署 dns 劫持，丢弃无法识别的流量。

[limuyan44]

这些虚拟机漏洞一定是外国人故意留得！！

[maskerTUI]

绝大多数的软件都会收集它想要的信息，不论是国内国外的软件。至于利用虚拟机逃逸这种漏洞来收集你的物理机信息，很明确的告诉你正常软件都不会这么做。

[baobao1270]

大多数人并没有使用这种大杀器的价值

从楼主用户名和发言语气来看，可能是从事敏感行业或活动的人员，建议使用物理断网隔离设备、网闸等专业设备，另外请特别注意社会工程学攻击

[x86]

0day 就这么廉价了？

[crab]

这类漏洞便宜都要十几万美金。

[Dvel]

虚拟机逃逸漏洞又名别天神，是宇智波家族万花筒写轮眼的最强幻术，可以逃脱秽土转生的限制。

[zy8848]

处理器和操作系统的漏洞你怎么防？

@baobao1270 估计就是个被洗脑的应届生

[msg7086]

如果能私底下发现这种级别的 0day 漏洞，那就应该有能力干掉国内外各种大型云主机厂商。这么高危的漏洞已经是国家战略武器级的东西了，别说拿来收集你的个人信息了，放在军方或者国防部那都是绝密信息，泄露出来怕是要掉脑袋的。

至于已知漏洞，倒也是有可能的，但是研发成本和用户基数不成比例。比如说国产软件装机量 1 亿台，其中用虚拟机装的只有 1 万台。你为了这 0.01%的用户，专门去写了模块试探漏洞，还要逃逸，真当程序员不要钱啊。

今天你做老板，你让程序员研发，一万块钱研发成本可以在 1 亿电脑上偷数据，再加十万块钱可以在剩下的 1 万电脑上偷数据，这十万你花吗。

[oneoy]

我一般会放到 vps 上

[ipixeloldc]

话说腾讯系的用 TP 的那种，在虚拟机里面跑，小心封号....

[594duck]

虚拟机逃逸比 docker 难多了。所以 docker 的安全一大方法就是先开个 qemu，在 qemu 里开 docker 。

但是土楼上所说虚拟机会自己表示自己是虚拟机。但是要攻击还是很有难度的。

所以你要看你怎么定义这个安全，以及隔离

[mbv2e]

@delectate 检测到是虚拟机？这个一般软件都不自带，特别是 web 访问的时候，也不需要安装。