通过CPUID

原理:通过检查功能号1的CPUID返回的ecx的最高位是否为1，如果为1，则在虚拟环境下运行。真机的最高位不为1.

• 检测处理器是否支持 cpuid 指令（忽略这一条）
  现在的CPU都支持 cpuid 指令，没必要去检测是否支持，除非在很早的的机器上运行才有必要(那好像也要80486的机器吧)。
  在 eflags.ID 标志位是 Processor Feature Identification 位，即最高位，通过修改这个标志位的值，以此来检测是否支持 cpuid 指令。

  
  
• 要使用CPUID指令，输入eax表示功能号（类似中断的用法）
  输出eax,ebx,ecx,edx
  在EDX和ECX中返回的功能标志表明着该CPU都支持那些功能
  ECX返回值定义如下（资料来自Intel）：

     bit   Name     Description
    ---------------------------------------------------------
      00   SSE3     Streaming SIMD Extensions 3
      01            Reserved
      02   DTES64   64-Bit Debug Store
      03   MONITOR  MONITOR/MWAIT
      04   DS-CPL   CPL Qualified Debug Store
      05   VMX      Virtual Machine Extensions
      06   SMX      Safer Mode Extensions
      07   EST      Enhanced Intel SpeedStep® Technology
      08   TM2      Thermal Monitor 2
      09   SSSE3    Supplemental Streaming SIMD Extensions 3
      10   CNXT-ID  L1 Context ID
    12:11           Reserved
      13   CX16     CMPXCHG16B
      14   xTPR     xTPR Update Control
      15   PDCM     Perfmon and Debug Capability
    17:16           Reserved
      18   DCA      Direct Cache Access
      19   SSE4.1   Streaming SIMD Extensions 4.1
      20   SSE4.2   Streaming SIMD Extensions 4.2
      21   x2APIC   Extended xAPIC Support
      22   MOVBE    MOVBE Instruction
      23   POPCNT   POPCNT Instruction
    25:24           Reserved
      26   XSAVE    XSAVE/XSTOR States
      27   OSXSAVE
    31:28           Reserved

下面是使用CPUID检测的核心汇编代码

.CODE
getcpuid PROC
    xor eax,eax
    mov eax,1h
    cpuid
    mov a,eax
    mov b,ebx
    mov c_var,ecx  
    mov d,edx
    ret
getcpuid ENDP
END

通过利用IoInitializeTimer配合IoStartTimer的定时器来循环判定。

遍历模块

我们说到的第一种CPUID的方法可能通过修改VMX的配置等方法绕过。
还有一种方式是遍历当前系统中所有的sys。我们要查找的是vmmouse.sys,vmrawdsk.sys,vmusbmouse.sys中的任意一个。
核心是利用NtQuerySystemInformation
我们预先定义如下

typedef NTSTATUS(*NTQUERYSYSTEMINFORMATION) (
    IN ULONG SystemInformationClass,
    OUT PVOID SystemInformation,
    IN ULONG_PTR SystemInformationLength,
    OUT PULONG_PTR ReturnLength OPTIONAL
    );

这个函数的内核态版本在wdk中没有公开，我们用MmGetSystemRoutineAddress取函数地址。

m_NtQuerySystemInformation = (NTQUERYSYSTEMINFORMATION)MmGetSystemRoutineAddress(&NtQuerySystemInformation_Name);

我们要查找的是vmmouse.sys,vmrawdsk.sys,vmusbmouse.sys中的任意一个。

        m_NtQuerySystemInformation = (NTQUERYSYSTEMINFORMATION)MmGetSystemRoutineAddress(&NtQuerySystemInformation_Name);
        if (m_NtQuerySystemInformation == NULL) {
            bRet = TRUE;
            break;
        }
        status = m_NtQuerySystemInformation(0xb, NULL, 0, &RetLength);
        if (status < 0 && status != STATUS_INFO_LENGTH_MISMATCH) {
            bRet = TRUE;
            break;
        }
        Buffer = ExAllocatePoolWithTag(PagedPool, RetLength, "ytz");
        if (Buffer == NULL) {
            bRet = TRUE;
            break;
        }
        RtlZeroMemory(Buffer, RetLength);
        status = m_NtQuerySystemInformation(0xb, Buffer, RetLength, &RetLength);
        if (status < 0) {
            bRet = TRUE;
            break;
        }
        ModuleNums = *(ULONG*)Buffer;
        ModuleEntry = (PSYSTEM_MODULE_INFORMATION)((ULONG_PTR)Buffer + 8);
        for (Index = 0; Index < ModuleNums; Index++) {
            if (strstr(ModuleEntry->ImageName, "vmmouse.sys") ||
                strstr(ModuleEntry->ImageName, "vmrawdsk.sys") ||
                strstr(ModuleEntry->ImageName, "vmusbmouse.sys")) {
                DbgPrint("The Module Name is %s\n", ModuleEntry->ImageName);
                bRet = TRUE;
                break;
            }
            ModuleEntry++;
        }

注：在X64下使用上文的汇编代码时，需要修改下asm的属性

效果

我们可以开线程的方式循环判定，线程中使用KeDelayExecutionThread来延时。
例如

LARGE_INTEGER sleeptime = { 0 };
sleeptime.QuadPart = -20000000;
while(TRUE){
    doSomethingHere.
    KeDelayExecutionThread(KernelMode, 0, &sleeptime);
}

我们可以通过PsCreateSystemThread来创建一个线程

NTSTATUS PsCreateSystemThread(
  PHANDLE            ThreadHandle,
  ULONG              DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  HANDLE             ProcessHandle,
  PCLIENT_ID         ClientId,
  PKSTART_ROUTINE    StartRoutine,
  PVOID              StartContext
);

只要第一个参数设置为先前定义的好的初值为NULL的HANDLE类型变量，再在StartRoutine传入符合参数的函数名，其他填写NULL即可。
这个符合参数的函数要求满足KeDelayExecutionThread routine，可以参见ms文档
它的函数要求的参数为

NTSTATUS KeDelayExecutionThread(
  _In_ KPROCESSOR_MODE WaitMode,
  _In_ BOOLEAN         Alertable,
  _In_ PLARGE_INTEGER  Interval
);