如何使用VMware虚拟机查出恶意软件
作为网管员，恶意软件分析可能并不是我们的最主要工作。不过，如果一个恶意软件影响了你的桌面应用程序的使用，你也许会考虑一下这种不熟悉的恶意代码的性质。一般来说，从行为分析入手开始你的调查工作，也就是观察恶意软件怎样影响文件系统、注册表及网络，可以很快地就产生极有价值的结果。一些虚拟化软件，如VMware虚拟机在这个分析过程中具有很大的帮助作用。 VMware虚拟机是一个“虚拟PC”软件.它使你可以在一台机器上同时运行二个或更多Windows、DOS、LINUX系统。与“多启动”系统相比,VMware虚拟机采用了完全不同的概念。多启动系统在一个时刻只能运行一个系统，在系统切换时需要重新启动机器。VMware虚拟机是真正“同时”运行，多个操作系统在主系统的平台上，就象标准Windows应用程序那样切换。而且每个操作系统你都可以进行虚拟的分区、配置而不影响真实硬盘的数据，你甚至可以通过网卡将几台虚拟机用网卡连接为一个局域网,极其方便。不过今天我们要讨论的是如何运用VMware虚拟机分析恶意软件的问题。 用VMware虚拟机分析恶意软件的益处 VMware虚拟机支持同时运行在一个物理系统上的多个计算机的仿真。与一个使用完全不同的物理结构部件的实验环境相比，这种方法用于恶意软件的行为分析有多种好处： 在分析实验室中，拥有几个系统通常是有益的，因而恶意软件只会与模拟的Internet部件交互。通过VMware虚拟机，就可以构建一个多部件的试验室，而不用承担多个物理系统的臃肿之苦。 在感染恶意软件之前，能够捕捉系统状态的快照；而且通过定期的快照分析可以节省时间。这项功能可以提供一种几乎瞬间就恢复到目标系统的简单方式。VMware虚拟机通过其集成的快照特性使这种恢复相当容易。VMware虚拟机 Workstation作为一种商业产品，允许生成多个快照。VMware Server是一种免费软件，只支持单一快照。VMware Player也是一个免费的软件，不能捕捉系统快照。 VMware虚拟机的host-only网络选项对于通过仿真网络连接虚拟系统极其方便，而不需增加额外的硬件。这项设置使得分析人员对将实验室环境连接到生产网络不会太感兴趣。在用混杂模式(promiscuous mode) 监听时，Host-only网络允许虚拟系统在模拟的网络上查看所有的数据通信。这使得对监视网络的交互性变得很容易。 开始运用VMware虚拟机分析恶意软件 准备一个基于VMware虚拟机的分析实验室是相当简单的事情。你需要一个拥有一个大容量内存及磁盘空间的系统，用以充当一个物理主机。你还需要必需的软件：VMware Workstation 或 Server，以及要部署在实验室的操作系统的安装媒体。 VMware虚拟机模仿计算机硬件，因此你必须将操作系统安装到每一个虚拟机之中，这些虚拟机是用VMware虚拟机的新虚拟机向导（Virtual Machine Wizard）创建。操作系统安装好后，再安装VMware虚拟机工具包（VMware Tools package），这样会优化VMware虚拟机的操作。然后，安装适当的恶意软件分析软件。 笔者推荐实验环境拥有几种不同的操作系统的虚拟主机，每一个操作系统代表恶意软件可能攻击的目标。这就便于我们在本地环境中观察恶意程序。如果使用VMware Workstation，你应该在安全更新安装过程中，在不同的时点上捕获虚拟系统的快照，从而可以在不同补丁级别上分析恶意软件。 保障生产系统的安全 在对付恶意软件时，必须采取预防措施不要让生产系统网络受到感染。如果不进行地正确的处理或恶意程序样本滥用了VMware虚拟机安装程序中的一个漏洞，这种感染和破坏就会发生。在VMware虚拟机中已经有几个众所周知的漏洞，这些漏洞从理论上讲，可允许恶意代码从虚拟系统找到通向物理主机的方法。感兴趣的读者可从此获得相关的文档资料。 为了减轻这些风险，笔者建议如下的方法： 跟上VMware虚拟机安全补丁的步伐，经常浏览其网站，下载其最新的补丁。 将某物理主机用于基于VMware虚拟机的试验环境，就不要将它用于其它目的。 不要将物理试验系统连接到生产性网络。 用基于主机的入侵检测软件监视物理主机，如一个文件集成检查器。 用克隆软件定期重镜象物理主机，如Norton Ghots。如果这样做速度太慢，可以考虑使用硬件模块，如Core Restore，用于撤消对系统状态的改变。 使用VMware虚拟机进行恶意软件分析的一个挑战就是恶意代码可能会检测到它是否运行在一个虚拟系统之内，这会向恶意软件指明它正在被分析。如果你不能修改其代码来删除这项功能，你可以重新配置VMware虚拟机来使它更加秘密地运行，可参考如下文档对VM的.vmx文件进行设置。这些设置的最大问题是它们可能会降低虚拟系统的性能，此外还要注意这些设置并不被VMware虚拟机支持。 虚拟化选择和策略 当然，VMware虚拟机并非可用于恶意软件分析的唯一虚拟化软件。常用的选择还包括微软的Virtual PC和Parallels Workstation。 虚拟化软件为构建一个恶意软件分析环境提供了一个方便省时的机制。不过，一定要为防止恶意软件逃离你的测试环境而建立必需的控制。
虚拟机被攻击问题
1、应该是真实机器，除非虚拟机做了 NAT 或者端口转发，这样会把自己某些端口直接放在最前沿出来，这样真实系统不用这些端口而仅仅是进行转发，所以不会影响到真 实系统。
2、如果你知道局域网搭建要求，而且这个局域网是有网管，网桥的二级拓补结构的网络，而不是普通的一级星形结构。
3、理论上可以，实际上要看软件。有的软件是模拟一个虚拟网卡，把你的发向虚拟网卡的数据，转发到他的跨协议网络中。对方收到数据，在转换为局域网数据转给软件。这种的绝对没问题。但有的软件会提供一个模拟环境，把软件发送的数据截取不发给你的网络，而是自己转换处理。这种因为针对软件设计的，可能会出问题。但这种软件一般对某些游戏软件的支持会特别好。
4、虚拟机和主机本来就是绝对分离的，他们的交互，都是虚拟机软件模拟出来的东西，从硬件模拟到网络模拟。
用虚拟机攻击某主机，再彻底删除虚拟机后，对面能找到我的主机吗？
可以的。问题有价值吗，虚拟机有很多破绽，甚至基本的防火墙都没有，相对系统来说很容易攻破。
为什么使用虚拟机作为网络安全攻击的对象
为啥要使用虚拟机
使用虚拟机主要有俩原因。
第一个是为了好收拾，清理痕迹什么的。特别是MAC地址，系统指纹信息等等，这些一旦被收集到都可以作为呈堂证供。用虚拟机，干了坏事把快照恢复一下就好，省的清理cookie什么乱七八糟的，如果是干了特别坏的事那就把虚拟机删了，干净清透没问题～
第二个原因是为了做网络隔离。直接连接网络很有可能会暴露你的公网ip地址。很显然在你的主机电脑上装了很多软件。。这些软件不说到底有没有后门，但是记录你的操作记录，或者某些隐私信息妥妥的，有些甚至可以直接绕过代理访问自己的服务器，一旦追查起来，都是很容易取证的。所以套一层虚拟机，搭一个干净的环境可以保护隐私不外泄。还有种双层虚拟机的，虚拟机A用作攻击机，虚拟机B用作网关，B必须是双网卡，一个host-only，一个NAT，然后A的所有信息先通过B中转到host再到公网。好吧，个人感觉这种设定真的是非常的蛋疼疼疼。。裹着棉大衣的赶脚，不过确实比单虚拟机更加安全。
再说tor
这个具体干嘛的找谷歌吧，总的来说是一款专门设计用于隐匿上网身份的工具。为什么说它可以用来隐匿呢？咱们来看图
tor在全世界有很多的中继节点，就是图中的2部分。当你启动tor用来上网的时候，首先经过1进入中继节点，TOR 客户端会随机挑选三个节点用于中转，并且每过几分钟会重新选择。
中继节点分入口节点，中间节点，出口节点，然后再经过3到服务器。在这三步中，1和2都是经过加密的，只有在出口节点能看到你的真实访问信息。如果你访问的是https协议的网站，那就相对安全，因为https是加密的。如果访问的是http协议的网站，那么风险就比较大，因为出口节点说不定是蜜罐，在嗅探你的出口明文信息。但是由于1，2部分中间也都是加密传输，即便出口节点知道有人访问了某网站干了点啥，它也无法定位到来源的ip，除非所有三个节点都是蜜罐，或者有传说中NSA那样牛逼的破解密钥的能力一路追上来锁定你。
还有vpn
所以为啥还要用vpn啊？用tor感觉已经很安全了啊，即便是侧漏了好像也找不到自己耶？
感谢国家。。感谢那个墙。。tor这种看上去一点都不像是五好青年用的东西必须肯定是分分钟在墙的黑名单上啊。。。当你很嗨皮的启动tor想要体验一把“偷偷的上网，打枪地不要”时候，你会发现拓麻一个中继节点都连接不上啊～所以先整个VPN把自己翻出墙吧，然后才能勾搭上tor～然后你会发现打开网页的速度简直不能忍。。。
最后
警察蜀黍说，莫伸手，伸手必被抓。
这世上没有绝对的安全，丝绸之路创始人用tor用的如此high，还不是进去了 =。=
若未解决，请访问：http://www.ken-mobile.com/index.php?s=/Home-Index-index.html了解更多内容
虚拟机被黑客攻击主机会有事吗
如果虚拟机感染了病毒，则主机会出现运行速度变慢的现象（虚拟机正在运行）。
由于虚拟机处理的数据仍然是通过CPU进行处理的，因此，感染了虚拟机的病毒将会占用真实计算机的CPU进行数据处理，此时将会占用主机的处理效率。
但是，病毒不会对主机造成其他方面的破坏，也不会在虚拟机未运行时占用资源。因此，用户可以通过及时重建虚拟机彻底解决问题。