硬件信息：从ACPI到SMBIOS的蛛丝马迹
虚拟机总要模拟真实硬件，但有时候一些“细节”会透露它的底细。开机时，主板固件会给操作系统传输ACPI和SMBIOS等信息表，它们相当于硬件的“身份证”。
在ACPI里，QEMU默认会把OEM ID写成“BOCHS”，OEM Table ID写成“BXPCDSDT”之类，一下子就暴露了。
有些在现实中不存在的设备也会被模拟出来，比如QEMU中常见的DBUG和FWCF，这些虚拟硬件标签很明显不属于真实环境。
再看SMBIOS：Windows“系统信息”里显示的大多来自这里。比如常见的OVMF固件就会直接暴露虚拟机身份。
如果某些恶意软件要识别虚拟机环境，它还会查风扇、热区域等信息。毕竟一般主板都会把这些写在ACPI或SMBIOS里，但有些虚拟机并没有做完整模拟。
PCI设备：Vendor ID也藏不住秘密
显卡、声卡、网卡、USB等都属于PCI设备，操作系统会根据Vendor ID、Device ID等提供的代码去判断它们的类型和驱动。
像QEMU模拟的VirtIO设备就常用0x1AF4作为Vendor ID，一眼就能看出是虚拟机。
另外还可能在硬盘的产品名、序列号、MAC地址等信息里找到“虚拟机”痕迹。
CPU探针：CPUID指令的奥秘
x86架构里有条CPUID指令，用来检测CPU所支持的功能。很多虚拟机无法完整模拟，就会屏蔽某些功能的标识。
早年Red Pill之类的小工具会通过读取关键数据结构的位置来判断虚拟环境，现在硬件虚拟化技术升级后，那些老方法逐渐被淘汰。
如果使用KVM，执行
CPUID时还能读到“KVMKVMKVM”的字符串，这种明显的标记当然是把自己“卖”得干干净净。
驱动信息：半虚拟化与全虚拟化之间的差异
很多老牌虚拟机都要在客机里安装特定驱动，这些驱动里往往有明显的标识，比如VMWare。只要稍微留意，就能知道自己在虚拟机环境里。
现在的KVM做到了全虚拟化，不再需要动客机。但如果默认启用了VirtIO接口设备，还会留下“VirtIO”等字样。
计时检测：绕不过去的时间陷阱
CPU里有个极其精准的TSC计时器，用来记录CPU时钟周期数。一些检测手段会在两次读取TSC之间执行CPUID或其他难以模拟的操作，如果所耗时间比真实机器长得多，就能推断出是虚拟机。
这种方法目前没啥一招鲜的解决方案，需要针对内核和QEMU进行改造，实时“回填”TSC计数，才能蒙混过关。
Hyper-V崛起：反虚拟机检测不再关键？
随着Windows 10大力推广Hyper-V，大量普通用户无意中就开启了虚拟化。很多网游反作弊系统只要发现Hyper-V环境，就干脆不再管是否是虚拟机，毕竟已经太常见了。
更神奇的是，有些玩家会在Linux下KVM虚拟Windows，然后再在Windows里开启Hyper-V，最终还能轻松玩各种3A大作。但前提是CPU和虚拟化层都支持嵌套虚拟化。
可行的“伪装”方案：让检测方法统统失效
如果还是想更认真地“躲过”检测，也并非没辙。KVM + QEMU + libvirt三件套足以把大多数标识隐藏起来：
CPU信息改造：把libvirt配置里的CPU模式设为“host-passthrough”，禁用“hypervisor”特征，还能在<smbios>里模糊真实信息。
硬件ID替换：改硬盘、网卡、声卡等模拟设备的Vendor和Product，把PCI Vendor ID等数字动手脚。
ACPI和SMBIOS定制：利用QEMU参数伪造Thermal Zone或风扇信息，避免那种独特的“虚拟”指纹。
修改QEMU源代码：或使用二进制补丁直接把带“QEMU”特色的硬编码ID改掉，从ACPI OEM ID到VirtIO等全部隐藏。
计时器伪装：这是最高难度，要改内核或QEMU的核心逻辑，在执行CPUID等特殊指令时补偿TSC，让计时检测无法察觉额外消耗。
在如今的虚拟化环境里，想完全让操作系统察觉不到自己身处虚拟机是一场“军备竞赛”，毕竟不管是厂商还是发烧友，都在不断进化自家伪装或者检测的手段。不过随着Hyper-V的普及和嵌套虚拟化的成熟，能不能被检测出来似乎反而不是那么要紧了。看你追求的是什么，是极致隐匿，还是简单实用？反正只要硬件足够给力，你想怎么虚拟，就怎么快乐地虚拟。