VT 基本框架源码

蓝灵火焰

1.查询CPU对VMX的支持
cpuid 指令，查询1号功能，返回的ECX[5]==1

1.   #define CPUID_ECX_VMX_ABILITY (1<<5)
   
2.   ULONG64 CheckCPUID() {
   
3. 
   
4.       int ctx[4] = { 0 };//顺序：eax,ebx,ecx,edx
   
5.       __cpuid(ctx, 1);
   
6. 
   
7.       return ctx[2] & CPUID_ECX_VMX_ABILITY;        //Bit-5
   
8.   }

复制代码

rdmsr 指令，查询BIOS是否已开启对VMX的支持

1.   #define MSR_IA32_FEATURE_CONTROL 0x3A
   
2.   ULONG64 CheckMsr() {
   
3.       MSR_IA32_FEATURE_CONTROL_REGISTER msr = { 0 };
   
4.       msr.value.QuadPart = __readmsr(MSR_IA32_FEATURE_CONTROL);
   
5.       return msr.Bits.Lock;
   
6.   }

复制代码

2.开启VMX
修正CR0和CR4，设置CR4.VMXE=1

1.   #define        MSR_IA32_VMX_CR0_FIXED0                                0x486
   
2.   #define        MSR_IA32_VMX_CR0_FIXED1                                0x487
   
3.   #define        MSR_IA32_VMX_CR4_FIXED0                                0x488
   
4.   #define        MSR_IA32_VMX_CR4_FIXED1                                0x489
   
5.   ULONG64 FixCr0() {
   
6. 
   
7.       IA32_CR0 uCr0 = { 0 };
   
8.       uCr0.value.QuadPart = __readcr0();
   
9. 
   
10.       uCr0.value.QuadPart |= __readmsr(MSR_IA32_VMX_CR0_FIXED0);
    
11.       uCr0.value.QuadPart &= __readmsr(MSR_IA32_VMX_CR0_FIXED1);
    
12. 
    
13.       __writecr0(uCr0.value.QuadPart);
    
14.       return TRUE;
    
15.   }
    
16.   ULONG64 FixCr4() {
    
17. 
    
18.       IA32_CR4 uCr4 = { 0 };
    
19.       uCr4.value.QuadPart = __readcr4();
    
20. 
    
21.       uCr4.value.QuadPart |= __readmsr(MSR_IA32_VMX_CR4_FIXED0);
    
22.       uCr4.value.QuadPart &= __readmsr(MSR_IA32_VMX_CR4_FIXED1);
    
23.       uCr4.Bits.VMXE = 1;
    
24. 
    
25.       __writecr4(uCr4.value.QuadPart);
    
26.       return TRUE;
    
27.   }

复制代码

3.申请内存
VMON区，需要页对齐，并且需要得到它的物理地址
VMCS区，需要页对齐，并且需要得到它的物理地址
VMM栈，可以的话申请几个页，避免栈溢出

1.   ULONG64 CreateVM(UCHAR CpuIndex) {
   
2. 
   
3.       psVM[CpuIndex].pOnVa = ExAllocatePool2(POOL_FLAG_NON_PAGED, PAGE_SIZE, 'VMON');
   
4.       if (!psVM[CpuIndex].pOnVa) { return FALSE; }
   
5.       RtlZeroMemory(psVM[CpuIndex].pOnVa, PAGE_SIZE);
   
6.       psVM[CpuIndex].pOnPa = MmGetPhysicalAddress(psVM[CpuIndex].pOnVa);
   
7. 
   
8.       psVM[CpuIndex].pCsVa = ExAllocatePool2(POOL_FLAG_NON_PAGED, PAGE_SIZE, 'VMCS');
   
9.       if (!psVM[CpuIndex].pCsVa) { return FALSE; }
   
10.       RtlZeroMemory(psVM[CpuIndex].pCsVa, PAGE_SIZE);
    
11.       psVM[CpuIndex].pCsPa = MmGetPhysicalAddress(psVM[CpuIndex].pCsVa);
    
12. 
    
13.       psVM[CpuIndex].pStack = ExAllocatePool2(POOL_FLAG_NON_PAGED, STACK_SIZE, 'VMSK');
    
14.       if (!psVM[CpuIndex].pStack) { return FALSE; }
    
15.       RtlZeroMemory(psVM[CpuIndex].pStack, STACK_SIZE);
    
16. 
    
17.       return TRUE;
    
18.   }

复制代码

4.设置VMXON区，执行VMXON
只需要填写一个版本号
执行vmxon(VMON区的物理地址);

1.   ULONG64 InitVmxON(UCHAR CpuIndex, ULONG RevisonId) {
   
2. 
   
3.       *((PULONG)psVM[CpuIndex].pOnVa) = RevisonId;
   
4. 
   
5.       if (__vmx_on(&psVM[CpuIndex].pOnPa.QuadPart))
   
6.       {
   
7.           KdPrint(("vmx_on 失败！\n"));
   
8.           return FALSE;
   
9.       }
   
10. 
    
11.       return TRUE;
    
12.   }

复制代码

5.设置VMXCS区
5.1.初始化VMCS

1.       ULONG64 InitVmxCS(UCHAR CpuIndex, ULONG RevisonId) {
   
2. 
   
3.           *((PULONG)psVM[CpuIndex].pCsVa) = RevisonId;
   
4. 
   
5.           if (__vmx_vmclear(&psVM[CpuIndex].pCsPa.QuadPart))
   
6.               return FALSE;
   
7.           if (__vmx_vmptrld(&psVM[CpuIndex].pCsPa.QuadPart))
   
8.               return FALSE;
   
9. 
   
10.           return TRUE;
    
11.       }

复制代码

2.设置GUEST运行环境
控制寄存器：CR0,CR3,CR4
调试寄存器：DR7
段寄存器：ES,FS,DS,CS,SS,GS,TR,LDTR
GS基址,FS基址
GDT基址,IDT基址
GDT段限,IDT段限
状态寄存器：RFLAGS
SYSENTER_CS,SYSENTER_ESP,SYSENTER_EIP
RIP,RSP
需要保存GUEST当前的RSP和GUEST当前下一条指令的RIP，以便操作完成后回到GUEST的代码流程，就像没有发生过什么事一样

1.   ULONG64 SetGuestState(ULONG64 GuestRip, ULONG64 GuestRsp) {
   
2. 
   
3.       ULONG64 ret = 0;
   
4. 
   
5.       ULONG64 GdtBase = _readBaseGDT();
   
6.       ULONG64 IdtBase = _readBaseIDT();
   
7. 
   
8.       ret += __vmx_vmwrite(GUEST_CR0, __readcr0());
   
9.       ret += __vmx_vmwrite(GUEST_CR3, __readcr3());
   
10.       ret += __vmx_vmwrite(GUEST_CR4, __readcr4());
    
11.       ret += __vmx_vmwrite(GUEST_DR7, __readdr(7));
    
12. 
    
13.       ret += SetGuestSeg(ES, _readES(), GdtBase);
    
14.       ret += SetGuestSeg(FS, _readFS(), GdtBase);
    
15.       ret += SetGuestSeg(DS, _readDS(), GdtBase);
    
16.       ret += SetGuestSeg(CS, _readCS(), GdtBase);
    
17.       ret += SetGuestSeg(SS, _readSS(), GdtBase);
    
18.       ret += SetGuestSeg(GS, _readGS(), GdtBase);
    
19.       ret += SetGuestSeg(TR, _readTR(), GdtBase);
    
20.       ret += SetGuestSeg(LDTR, _readLDTR(), GdtBase);
    
21. 
    
22.       ret += __vmx_vmwrite(GUEST_FS_BASE, __readmsr(MSR_IA32_FS_BASE));
    
23.       ret += __vmx_vmwrite(GUEST_GS_BASE, __readmsr(MSR_IA32_GS_BASE));
    
24.       ret += __vmx_vmwrite(GUEST_GDTR_BASE, GdtBase);
    
25.       ret += __vmx_vmwrite(GUEST_GDTR_LIMIT, _readLimitGDT());
    
26.       ret += __vmx_vmwrite(GUEST_IDTR_BASE, IdtBase);
    
27.       ret += __vmx_vmwrite(GUEST_IDTR_LIMIT, _readLimitIDT());
    
28. 
    
29.       ret += __vmx_vmwrite(GUEST_RFLAGS, __readeflags());
    
30.       ret += __vmx_vmwrite(GUEST_RIP, GuestRip);
    
31.       ret += __vmx_vmwrite(GUEST_RSP, GuestRsp);
    
32. 
    
33.       ret += __vmx_vmwrite(GUEST_IA32_SYSENTER_CS, __readmsr(MSR_IA32_SYSENTER_CS));
    
34.       ret += __vmx_vmwrite(GUEST_IA32_SYSENTER_ESP, __readmsr(MSR_IA32_SYSENTER_ESP));
    
35.       ret += __vmx_vmwrite(GUEST_IA32_SYSENTER_EIP, __readmsr(MSR_IA32_SYSENTER_EIP));
    
36. 
    
37.       return ret;
    
38.   }

复制代码

3.设置HOST运行环境
控制寄存器：CR0,CR3,CR4
段寄存器：ES,FS,DS,CS,SS,GS,TR
GS基址,FS基址,TR基址
GDT基址,IDT基址
SYSENTER_CS,SYSENTER_ESP,SYSENTER_EIP
RIP,RSP
HOST的RIP就是VM退出后跳转到VMM的入口地址，所以我们要写一个VMM入口函数，保存VM的现场状态，回到VM后才能继续像什么也没发生过一样继续执行

1.     ULONG64 SetHostState(ULONG64 HostRip, ULONG64 HostRsp) {
   
2. 
   
3.         SEG seg = { 0 };
   
4.         ULONG64 ret = 0;
   
5.         ULONG64 GdtBase = _readBaseGDT();
   
6.         ULONG64 IdtBase = _readBaseIDT();
   
7.         ULONG64 TR = GetSegInfo(&seg, _readTR(), GdtBase);
   
8. 
   
9.         ret += __vmx_vmwrite(HOST_CR0, __readcr0());
   
10.         ret += __vmx_vmwrite(HOST_CR3, __readcr3());
    
11.         ret += __vmx_vmwrite(HOST_CR4, __readcr4());
    
12. 
    
13.         ret += __vmx_vmwrite(HOST_RIP, HostRip);
    
14.         ret += __vmx_vmwrite(HOST_RSP, HostRsp);
    
15. 
    
16.         ret += __vmx_vmwrite(HOST_CS_SELECTOR, _readCS() & 0xF8);
    
17.         ret += __vmx_vmwrite(HOST_SS_SELECTOR, _readSS() & 0xF8);
    
18.         ret += __vmx_vmwrite(HOST_DS_SELECTOR, _readDS() & 0xF8);
    
19.         ret += __vmx_vmwrite(HOST_ES_SELECTOR, _readES() & 0xF8);
    
20.         ret += __vmx_vmwrite(HOST_FS_SELECTOR, _readFS() & 0xF8);
    
21.         ret += __vmx_vmwrite(HOST_GS_SELECTOR, _readGS() & 0xF8);
    
22.         ret += __vmx_vmwrite(HOST_TR_SELECTOR, _readTR() & 0xF8);
    
23. 
    
24.         ret += __vmx_vmwrite(HOST_FS_BASE, __readmsr(MSR_IA32_FS_BASE));
    
25.         ret += __vmx_vmwrite(HOST_GS_BASE, __readmsr(MSR_IA32_GS_BASE));
    
26.         ret += __vmx_vmwrite(HOST_TR_BASE, TR ? seg.Base : 0);
    
27.         ret += __vmx_vmwrite(HOST_GDTR_BASE, GdtBase);
    
28.         ret += __vmx_vmwrite(HOST_IDTR_BASE, IdtBase);
    
29. 
    
30.         ret += __vmx_vmwrite(HOST_IA32_SYSENTER_CS, __readmsr(MSR_IA32_SYSENTER_CS));
    
31.         ret += __vmx_vmwrite(HOST_IA32_SYSENTER_ESP, __readmsr(MSR_IA32_SYSENTER_ESP));
    
32.         ret += __vmx_vmwrite(HOST_IA32_SYSENTER_EIP, __readmsr(MSR_IA32_SYSENTER_EIP));
    
33. 
    
34.         return ret;
    
35.     }

复制代码

4.设置执行控制
先设置最基本的的条件

1.     ULONG64 SetVmxExecutionCTLS(UCHAR CpuIndex, ULONG64 vmxctrl) {
   
2. 
   
3.         UCHAR ret = 0;
   
4.         ULONG64 value = 0;
   
5. 
   
6.         MSR_IA32_VMX_PINBASED_CTLS_REGISTER PinBased = { 0 }, SetPinBase = { 0 };
   
7.         MSR_IA32_VMX_PROCBASED_CTLS_REGISTER Primary = { 0 }, SetPrimary = { 0 };
   
8.         MSR_IA32_VMX_PROCBASED_CTLS2_REGISTER Secondry = { 0 }, SetSecondry = { 0 };
   
9.         MSR_IA32_VMX_PROCBASED_CTLS3_REGISTER Tertiary = { 0 };
   
10. 
    
11.         PinBased.value.QuadPart = vmxctrl ? __readmsr(MSR_IA32_VMX_TRUE_PINBASED_CTLS) : __readmsr(MSR_IA32_VMX_PINBASED_CTLS);
    
12.         /*在这里设置《PinBased》*/
    
13. 
    
14.         value = SetControls(SetPinBase.value.QuadPart, PinBased.value);
    
15.         ret += __vmx_vmwrite(PIN_BASED_VM_EXECUTION_CONTROLS, value);
    
16. 
    
17.         Primary.value.QuadPart = vmxctrl ? __readmsr(MSR_IA32_VMX_TRUE_PROCBASED_CTLS) : __readmsr(MSR_IA32_VMX_PROCBASED_CTLS);
    
18.         /*在这里设置《Primary》*/
    
19.         SetPrimary.Bits->MSRmap = TRUE;
    
20.         SetPrimary.Bits->RDTSC = TRUE;
    
21.         SetPrimary.Bits->Secondary = TRUE;
    
22. 
    
23.         value = SetControls(SetPrimary.value.QuadPart, Primary.value);
    
24.         ret += __vmx_vmwrite(PRIMARY_PROCESSOR_BASED_VM_EXECUTION_CONTROLS, value);
    
25. 
    
26.         if (SetPrimary.Bits->Secondary)
    
27.         {
    
28.             Secondry.value.QuadPart = __readmsr(MSR_IA32_VMX_PROCBASED_CTLS2);
    
29. 
    
30.             /*在这里设置《Secondry》*/
    
31.             SetSecondry.Bits->XSAVES_XRSTORS = TRUE;
    
32.             SetSecondry.Bits->INVPCID = TRUE;
    
33.             SetSecondry.Bits->RDTSCP = TRUE;
    
34. 
    
35.             value = SetControls(SetSecondry.value.QuadPart, Secondry.value);
    
36.             ret += __vmx_vmwrite(SECONDARY_PROCESSOR_BASED_VM_EXECUTION_CONTROLS, value);
    
37. 
    
38.         }
    
39.         
    
40.         ret += __vmx_vmwrite(VMCS_LINK_POINTER_FULL, ~0Ull);
    
41.         ret += __vmx_vmwrite(VIRTUAL_PROCESSOR_IDENTIFIER, CpuIndex);
    
42. 
    
43.         return ret;
    
44.     }

复制代码

5.设置VM退出控制
先设置最基本的的条件

1.     ULONG64 SetVmxExitCTLS(UCHAR CpuIndex, ULONG64 vmxctrl) {
   
2. 
   
3.         ULONG64 ret = 0;            
   
4.         ULONG64 value = 0;
   
5.         MSR_IA32_VMX_EXIT_CTLS_REGISTER VmExit = { 0 }, SetExit = { 0 };
   
6.         VmExit.value.QuadPart = vmxctrl ? __readmsr(MSR_IA32_VMX_TRUE_EXIT_CTLS) : __readmsr(MSR_IA32_VMX_EXIT_CTLS);
   
7.         /*在这里设置《VmExit》*/
   
8.         SetExit.Bits->HOST_addr_size = TRUE;
   
9. 
   
10.         value = SetControls(SetExit.value.QuadPart, VmExit.value);
    
11.         ret += __vmx_vmwrite(PRIMARY_VM_EXIT_CONTROLS, value);
    
12. 
    
13.         return ret;
    
14.     }

复制代码

6.设置VM进入控制
先设置最基本的的条件

1.     ULONG64 SetVmxEntryCTLS(UCHAR CpuIndex, ULONG64 vmxctrl) {
   
2. 
   
3.         ULONG64 ret = 0;
   
4.         ULONG64 value = 0;
   
5.         MSR_IA32_VMX_ENTRY_CTLS_REGISTER VmEntry = { 0 }, SetEntry = { 0 };
   
6.         VmEntry.value.QuadPart = vmxctrl ? __readmsr(MSR_IA32_VMX_TRUE_ENTRY_CTLS) : __readmsr(MSR_IA32_VMX_ENTRY_CTLS);
   
7.         /*在这里设置《VmEntry》*/
   
8.         SetEntry.Bits->Guest_IA32e = TRUE;
   
9. 
   
10.         value = SetControls(SetEntry.value.QuadPart, VmEntry.value);
    
11.         ret += __vmx_vmwrite(VM_ENTRY_CONTROLS, value);
    
12. 
    
13.         return ret;
    
14.     }

复制代码

7.编写VMM处理函数
此函数只做一些准备工作。

1.     ULONG64 HostEntry(PGUESTREG pGuestRegs)
   
2.     {
   
3.         __vmx_vmread(VIRTUAL_PROCESSOR_IDENTIFIER, &pGuestRegs->CpuIndex);
   
4.         __vmx_vmread(EXIT_REASON,  (size_t*) & pGuestRegs->exitReason);
   
5. 
   
6.         __vmx_vmread(GUEST_RIP, &pGuestRegs->GuestRip);
   
7.         __vmx_vmread(GUEST_RSP, &pGuestRegs->GuestRsp);
   
8.         __vmx_vmread(GUEST_RFLAGS, &pGuestRegs->GuestFlag);
   
9.         __vmx_vmread(VM_EXIT_INSTRUCTION_LENGTH, &pGuestRegs->InstrLen);
   
10. 
    
11.         pGuestRegs->eProcess = PsGetCurrentProcess();
    
12.         pGuestRegs->eThread = PsGetCurrentThread();
    
13. 
    
14.         return DispatchHandler(pGuestRegs);
    
15.     }

复制代码

调用 DispatchHandler 来处理事件。以下只是处理一些必须要处理的指令，CPU不同可能会有差异。处理方法就是查看CPU手册，模仿指令行为。这里就省略了，以免读者看得不清晰

1.     ULONG64 DispatchHandler(PGUESTREG pGuestRegs)
   
2.     {
   
3.         EXIT_REASON_FIELDS* exit = (EXIT_REASON_FIELDS*)&pGuestRegs->exitReason;
   
4.         ULONG64 CpuIndex = pGuestRegs->CpuIndex;
   
5.         ULONG64 GuestRip = pGuestRegs->GuestRip;
   
6.         ULONG64 GuestRsp = pGuestRegs->GuestRsp;
   
7.         ULONG64 InstrLen = pGuestRegs->InstrLen;
   
8. 
   
9.         switch (exit->Bits.Basic)
   
10.         {
    
11.         case EXIT_REASON_CPUID: {
    
12.            ...
    
13.             break;
    
14.         }
    
15.         case EXIT_REASON_RDMSR: {
    
16.            ...
    
17.             break;
    
18.         }
    
19.         case EXIT_REASON_WRMSR: {
    
20.            ...
    
21.             break;
    
22.         }
    
23.         case EXIT_REASON_RDTSC: {
    
24.             ...
    
25.             break;
    
26.         }
    
27.         case EXIT_REASON_RDTSCP: {
    
28.            ...
    
29.             break;
    
30.         }                           
    
31.         default:
    
32.             DbgBreakPoint();
    
33.             break;
    
34.         }
    
35.         return TRUE;
    
36.     }

复制代码

6.执行VM
执行vmlaunch();
如果上述设置没有出现问题。代码会接着在我们设置好的GUEST.RIP处继续运行。
直到触发VM退出条件，即可进入我们设置好的VMM.RIP（HostEntry）处开始执行