虚拟机和病毒

Question

我有一个需求，就是必须在没有保护（防火墙、防病毒）的情况下上网。同时，我也不想冒感染病毒的风险。

如果我安装虚拟机 (VirtualBox) 进行测试，并且它确实感染了病毒，它也会感染我的主机系统吗？换句话说，我可以使用虚拟机进行测试而不必担心虚拟机上的病毒会感染我的主机吗？

Answer 1

如果我安装虚拟机 (VirtualBox) 进行测试，并且它确实感染了病毒，它也会感染我的主机系统吗？换句话说，我可以使用虚拟机进行测试而不必担心虚拟机上的病毒会感染我的主机吗？

似乎对 VM 环境中的 NAT 和桥接连接存在一些误解。这些不允许你的主机受到感染。VM 操作系统无法访问主机操作系统，也完全不知道自己正在作为客户端虚拟机运行。操作系统内运行的软件对此就更不了解了。

客户端和主机之间的直接关系可能会存在被感染的机会。如果你允许客户端和主机共享文件夹。迄今为止发现的最大数量的 VMware（仅举一个流行产品的例子）漏洞都直接或间接地与此功能有关。通过关闭共享文件夹可以实现完全隔离。当 VM 引擎本身的漏洞允许潜在攻击者通过主机连接并访问任何客户端或运行自己的代码时，就会在主机端发现任何其他漏洞。

如果运行大型虚拟机结构（例如通过 VMware Server 拓扑提出的结构），安全问题可能确实更复杂。但如果运行单机 VMware Workstation 解决方案，则在 NAT 或 Bridge 连接下不存在安全问题。只要您不使用共享文件夹，您就是安全的。

编辑：需要明确的是，当我提到 NAT 或 Bridge 连接时，我仅指 VM 与其客户端共享主机网络连接的能力。这不会授予客户端对主机的任何访问权限，并且只要关闭 VM 共享文件夹等功能，它就会保持完全隔离。当然，如果用户决定将主机和客户端联网，则该用户明确决定连接两台机器，并随之产生内在的 VM 安全性。这与其他任何私有网络环境没有什么不同，需要解决相同的安全问题和担忧。

Answer 2

这取决于。

如果您的虚拟机（客户机）无法通过网络访问您的主机，那么您的主机就不会受到客户操作系统中任何病毒的影响。

Answer 3

我的 2 美分...

简而言之，在客户操作系统上下文中执行的恶意软件将无法感染主机操作系统，甚至可能不会意识到主机操作系统的存在（尽管理论上突破虚拟化环境是可能的，但我怀疑在一段时间内这种情况不会变得很普遍）。

一些例外：

在 VirtualPC 中（例如），可以将一个文件夹共享给客户操作系统，客户操作系统将该文件夹“视为”驱动器号。

根据您的配置，主机和客户操作系统可能位于同一网络上，这意味着利用开放端口或其他内容的病毒可能能够通过利用易受攻击的系统服务或通过网络共享进行传播。

最后，就目前情况而言，至少最有可能的途径是，该病毒可能具有 VM 感知能力，并且能够突破沙箱。目前，这种情况极不可能发生。

总体而言，在虚拟机环境下上网可能是最安全的方式，毫无疑问（考虑到 AV 软件和其他保护途径的不良记录）。事实上，使用单独的受限帐户可能就足够了，但虚拟机肯定会提供额外的隔离。

Answer 4

是的，如果您有共享文件夹...

可以通过虚拟机共享文件夹，也可以通过标准网络共享。

我不确定，并且很长一段时间没有看到任何病毒像这样传播并通过网络编辑文件，但这是可能的。

仅仅因为它是虚拟机并不意味着它是安全的，您只需将它视为网络上的另一台物理机器。

因此，如果您的主机（以及网络上的其他计算机）上安装了防病毒软件，那么您就是安全的，但同样……请将任何虚拟机视为任何其他物理机器。

运行虚拟机的唯一安全方法是禁用网络功能（或使用 VLAN 将其与网络完全分离...并且在该 VLAN 上没有任何管理接口。）并禁用所有涉及共享文件的主机/客户机集成。