内存中VMCS定位及虚拟化相关技术问题咨询

VMware Workstation（Type-2 Hypervisor）场景（Windows/Linux主机） #

定位每个运行虚拟机的VMCS #

• 遍历VMware内核内部结构体：VMware在主机内核中会维护每个虚拟机的管理结构体（Linux下可通过逆向找到vmx_vm这类结构，Windows下对应内部对象）。加载内核模块后，可通过扫描内核内存或利用内核符号（若能获取）定位这些结构体，其中会直接包含对应VM的VMCS指针。
• 利用VMX指令结合vCPU关联：在主机内核态，vmptrst指令可读取当前vCPU关联的VMCS指针，但需要先将内核线程绑定到目标VM的vCPU上。不过VMware会封装原生VMX指令，需逆向找到其允许的调用路径，或通过调试手段触发指令执行。
• 扫描物理内存匹配VMCS特征：VMCS有固定格式，头部为Intel定义的VMCS Revision ID（不同CPU型号对应不同值，可查Intel SDM），后续字段有固定偏移规则。内核模块可扫描具备特定权限（如不可执行、只读）的物理内存区域，匹配Revision ID及结构特征来定位VMCS。

获取虚拟机的Extended Page Table Pointer（EPTP） #

• 从VMCS直接读取：EPTP是VMCS的标准字段，偏移可参考Intel SDM（如64位系统下偏移为0x2028）。定位到VMCS地址后，直接读取该偏移处的64位值即可得到EPTP。
• 从VMware内部结构体提取：VMware的虚拟机管理结构体中通常会缓存EPTP，无需访问VMCS。内核模块找到对应VM的结构体后，直接读取其中的EPTP字段即可。

Type-1 Hypervisor场景 #

Type-1 Hypervisor直接运行在硬件上，虽无传统host OS，但仍可通过以下方式操作：

• 带特权管理域的Type-1（如Xen、VMware ESXi）：这类Hypervisor会提供一个特权域（如Xen的dom0、ESXi的VMkernel），可通过Hypervisor暴露的接口（如Xen hypercall、ESXi的VMkernel API）获取每个VM的VMCS指针和EPTP。特权域内的程序或内核模块可调用这些接口直接查询目标数据。
• 纯Type-1 Hypervisor（无特权域）：需通过Hypervisor自身的调试接口或管理API访问。若Hypervisor支持调试，可通过JTAG等硬件调试手段读取内存中的VMCS和EPTP；若有管理平面，可通过其提供的命令或API获取虚拟机的虚拟化相关参数。

内容的提问来源于stack exchange，提问作者Alex