VMware ESXi反虚拟机检测方法

一、ESXi 虚拟机 .vmx 全套去虚拟化参数

首先关闭虚拟机。

编辑虚拟机目录下，编辑.vmx文件。追加下列参数

# 屏蔽CPUID Hypervisor标识
hypervisor.cpuid.v0 = "FALSE"

# 关闭VMware后门通道（最核心）
monitor_control.restrict_backdoor = "TRUE"
monitor_control.disable_directexec = "TRUE"
monitor_control.disable_chksimd = "TRUE"
monitor_control.disable_ntreloc = "TRUE"
monitor_control.disable_selfmod2 = "TRUE"
monitor_control.disable_reloc = "TRUE"
monitor_control.disable_btinout = "TRUE"
monitor_control.disable_btmemspace = "TRUE"
monitor_control.disable_btpriv = "TRUE"
monitor_control.disable_btseg = "TRUE"

# 禁用隔离工具后门接口
isolation.tools.getPtrLocation.disable = "TRUE"
isolation.tools.setPtrLocation.disable = "TRUE"
isolation.tools.setVersion.disable = "TRUE"
isolation.tools.getVersion.disable = "TRUE"
isolation.tools.hgfs.disable = "TRUE"
isolation.tools.dnd.disable = "TRUE"

# SMBIOS / BIOS 伪装，读取宿主机硬件信息
smbios.reflectHost = "TRUE"
hw.model.reflectHost = "TRUE"
serialNumber.reflectHost = "TRUE"
board-id.reflectHost = "TRUE"
bios.reflectHost = "TRUE"
SMBIOS.noOEMStrings = "TRUE"

# 硬盘设备伪装示例（scsi0:0为第一块硬盘，按需修改）
scsi0:0.vendorID = "Samsung"
scsi0:0.productID = "SSD 870 EVO"

# 禁用VMware虚拟显卡标识（可选）
svga.present = "FALSE"

保存，重新注册虚拟机，开机。

二、客户机系统内部清理痕迹（Windows）

1. 卸载 VMware‑Tools，不要安装；如需驱动改用独立硬件直通
2. 设备管理器：检查是否还有 VMware 相关虚拟网卡、磁盘、显卡设备
3. 注册表清理 VMware 关键字，检查BIOS Vendor字符串不要出现VMware

HKLM\HARDWARE\DESCRIPTION\System\BIOS

三、网卡指纹规避

• 不要使用 VMware VMXNET3，改为 E1000 虚拟网卡，PCI‑ID 更加接近物理网卡
• 修改虚拟机 MAC 地址，避开00:50:56 VMware 官方 MAC 前缀

以上可规避很多检测，但无法保证100%，毕竟虚拟机有它的局限性，检测的针对性也越来越强。