虚拟化的重要性,虚拟机是绝对安全的吗,会不会影响到主机的安全?

2015.8.4 update

居然破百赞了,还有一大波关注(注意断句),赶紧滚来把虚拟机内网渗透的例子补上

——————————————分割线——————————————————————————

作为目前的信息安全爱好者来正经的回答一下这个问题:

虚拟机不是绝对安全的,会影响到主机的安全。

下面是科普环节:

在虚拟机安全中,有个特殊的漏洞叫做虚拟机逃逸,指的是进程越过虚拟机范围,进入到宿主机的操作系统中。其实虚拟机本质上也是运行在操作系统上的应用软件,只不过这个应用软件会独立的运行另外一个操作系统。[1]

具体的技术细节就不涉及了,下面给出几个近几年来曝出虚拟机逃逸漏洞:

CVE-2008-0923:VMWare虚拟机逃逸漏洞,涉及版本:VMWare Workstation 6.0.2 and 5.5.4[2]

CVE-2012-0217:Xen hypervisor虚拟机逃逸漏洞[3]

CVE-2014-0983:VirtualBox 3D加速之虚拟机逃逸漏洞[4]

我们可以看到基本上主流的虚拟机都存在虚拟机逃逸漏洞

那么除了虚拟机逃逸漏洞,还有其他方法可以通过虚拟机影响宿主机的吗?

答案是有的。

1、通常在windows下,人们较多的使用的是VMWare,VMWare提供VMTools可以使得虚拟机和宿主机之间进行交流,我们可以利用在虚拟机中文件进行挂马,如果用户将虚拟机中的挂马文件复制到宿主机中进行运行,我们就可以获取到宿主机的控制权。

2、如果虚拟机配置的时候采用桥接的方式,那么虚拟机和宿主机则处于同一个局域网的环境中,这个时候可以采用内网渗透的方式对宿主机进行攻击。

—————————————————— update——————————————————

虚拟机渗透宿主机实例补充:

这是很久之前一次渗透检测某医疗机构

网络拓扑结构很简单,一个公网出口ip配置在宿主机上,宿主机是IBM的服务器,用的是VMWare的虚拟机,上面跑了3个虚拟机,一个对外的门户网站,一个内部邮箱,一个oa(第一层内网)。然后该宿主机上跑的是MSSQL数据库,宿主机又和内部的系统(监控啥的)构成第二层内网。

当时通过门户网站的某个漏洞拿到了webshell。但是权限很低, network service权限,虚拟机上装了360个人防护全套、安全狗。尝试各种exp提权无效。翻到数据库配置文件,发现是mssql sa账号(在windows下等同于system权限),但是数据库和门户网站不是同一ip(站库分离)。先用sa连上数据库服务器(也就是最后的宿主机)开3389,读取管理员账号密码,然后用门户网站的webshell搭建代理进入内网,准备下一步入侵,等我连上内网的3389,看到桌面上的VMWare:

我就知道没啥好玩的了。

最喜欢这种管理员了

——————————————————————————————————————————

那么作为普通用户如何注意自己的虚拟机使用安全呢:

1、及时更新虚拟机软件,保证补丁及时

2、尽量避免虚拟机和宿主机之间的文件交互

参考资料:

[1]

Virtual machine escape

[2]

CVE -CVE-2008-0923

[3]

CVE -CVE-2012-0217

[4]

CVE -CVE-2014-0983

顺便打下广告,欢迎关注我的微信公众号(god-kow),会发一些有意思的东西

为什么虚拟化技术对云计算那么重要?_百度知道网络虚拟化对数据中心的重要性分析谈谈虚拟化及其安全性 - 腾讯云开发者社区-腾讯云虚拟化经营 - MBA智库百科什么是网络虚拟化?详细点,给参看链接也行。 - 知乎车载操作系统(七):虚拟化(Hypervisor) - 极术社区 ...虚拟化技术的本质 - pipci - 博客园Docker理论— 虚拟化技术分类_测试-八戒的博客-CSDN博客虚拟变量法:自变量为分类变量时,SPSS怎么做线性回归?虚拟化和云计算之间,主要有什么关系?虚拟化和容器技术的理解总结浅谈网络虚拟化技术工业互联网平台核心技术之二:虚拟化技术云服务器有哪些虚拟化技术?这可能是全网最好的文章了虚拟化与容器技术的区别浅谈Linux设备虚拟化技术的演进之路ARMv7中 KVM对虚拟化的实现(中篇)云服务器和虚拟化技术(腾讯云大学笔记)IO虚拟化虚拟化模型虚拟化技术原理CPU的三种虚拟化机制浅析桌面虚拟化给企业带来的价值【云计算虚拟化虚拟化学习认识总结虚拟化的主流技术介绍借助虚拟补丁保护重要资产虚拟化技术之 VMware Workstation教程(一)虚拟化笔记小结主流四大虚拟化架构对比分析五种主流的虚拟化技术NVIDIA GPU虚拟化七版迭代,如今再秀一波!计算机虚拟化(HCIA)解读存储虚拟化企业使用VMware vSphere进行服务器虚拟化的经验分享HCIA-虚拟化与网络存储技术SQL Server 虚拟化(1)——虚拟化简介云计算的那些事儿之计算虚拟化云计算的那些事之网络虚拟化Linux上的虚拟化技术华为FusionCompute详解(一)FusionSphere虚拟化套件介绍
虚拟化引擎虚拟化 百科虚拟化英语什么是虚拟化?为什么要使用虚拟化技术?虚拟化什么意思为什么要引入虚拟化win10虚拟化虚拟化 软件虚拟化的重要性例子虚拟化的重要性有哪些虚拟化的重要性和必要性虚拟化的好处虚拟化的三大特性虚拟化的价值虚拟化的概念和优势虚拟化技术的好处虚拟化有什么坏处虚拟化有啥用灌溉管道压力标准realme真我GT和iQOOneo5哪一款值得入手真我手机质量怎么样真我Q3为什么那么多差评泰国最新惊悚电影推荐抒情歌曲经典老歌小桥流水网购的东西与实物不符怎么索赔多功能建筑演示曲婉婷是什么电视剧真龙天子小程序荣耀x10和真我x7pro哪个值得买老虎画像图片大全简笔画