Delphi检测虚拟机的核心在于利用底层API与汇编指令集，构建多维度的特征识别体系，单一检测手段极易被经验丰富的逆向分析人员通过修改特征码或Hook API进行绕过，必须结合注册表特征、硬件指纹、CPU指令及进程环境进行综合判定，才能有效对抗恶意软件分析沙箱及调试环境，在实际开发中，采用分层加权评分机制比简单的布尔返回值更具专业性与可靠性,能够显著提高软件的抗分析能力。
基于注册表键值的特征检测
注册表是虚拟机环境最容易暴露痕迹的地方，因为虚拟机工具（如VMware Tools或VirtualBox Guest Additions）需要在系统中安装驱动和服务以实现宿主机与虚拟机的交互，通过Delphi的TRegistry类,我们可以精准扫描这些特定的键值。
VMware特征键值通常存在于HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Disk\Enum中，其数据往往包含”VMware”或”Virtual”等字符串。HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\VMware Tools也是极其明显的指纹，对于VirtualBox，重点检查HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\Scsi\Scsi Port 0\Scsi Bus 0\Target Id 0\Logical Unit Id 0下的标识符，以及HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\PCI中包含VEN_VBOX的设备实例。
在代码实现上，应避免硬编码所有路径，而是编写一个递归函数，针对SYSTEM\CurrentControlSet\Enum下的所有类GUID进行模糊搜索，这种广度优先的搜索策略能有效检测出即使更改了服务名称的虚拟机驱动，专业的反虚拟机代码不仅会检测键值是否存在，还会校验键值对应的文件路径，例如检查System32\drivers\vmmouse.sys是否存在,这是判断鼠标是否被虚拟化劫持的关键指标。
硬件指纹与MAC地址识别
每块网卡都有全球唯一的MAC地址，而虚拟化软件在生成虚拟网卡时，往往使用特定的OUI（组织唯一标识符），通过调用Windows的GetAdaptersInfo或GetAdaptersAddresses API，Delphi可以枚举系统所有网卡的MAC地址,并比对前三个字节。
VMware常用的MAC地址前缀包括00-05-69、00-0C-29、00-50-56。VirtualBox则默认使用08-00-27，检测逻辑中，一旦发现匹配的OUI，即可判定当前环境运行在虚拟机中，为了增加对抗难度，还可以检测网卡的描述信息，虚拟网卡的描述通常包含”Virtual Ethernet Adapter”或”Hyper-V Virtual Ethernet Adapter”等字样。
除了网卡，硬盘设备的物理ID也是重要的检测点，利用CreateFile打开\\.\PhysicalDrive0，并通过IOCTL_STORAGE_QUERY_PROPERTY获取设备描述，虚拟硬盘的Model ID通常直接暴露厂商名称，VMware Virtual IDE Hard Drive”或”VBOX HARDDISK”，这种直接与内核驱动通信的方式比读取WMI类更难被Hook,是构建高可信度检测的核心手段。
CPUID指令集深度探测
这是目前最权威且最难伪造的检测方法，现代CPU提供了CPUID指令，允许程序查询处理器的详细信息，通过汇编代码调用CPUID，并检查特定的寄存器返回值，可以识别出Hypervisor（ hypervisor）的存在。
在Delphi中，可以通过内联汇编嵌入cpuid指令，向EAX寄存器传入1，执行CPUID指令后，检查ECX寄存器的第31位，如果该位为1，则表示有一个Hypervisor正在运行，还可以向EAX传入0x40000000，这是Hypervisor叶结点的起始位置，执行后，ECX、EDX寄存器将返回Hypervisor的厂商签名ID。
VMware的签名ID是”VMwareVMware”，Microsoft Hyper-V是”Microsoft Hv”，VirtualBox则是”VBoxVBoxVBox”，这种基于CPU硬件底层的探测，不依赖操作系统文件系统，即使分析人员清除了注册表和文件痕迹，只要虚拟机层还在进行指令翻译，CPUID指令就会如实返回。专业的实现方式是将此作为最高权重的检测项,因为它直接反映了硬件虚拟化层的存在。
进程与窗口环境的枚举
虚拟机为了方便用户操作，通常会在后台运行特定的辅助进程，Delphi可以使用CreateToolhelp32Snapshot创建系统进程快照,遍历当前运行的进程列表。
需要重点关注的进程包括vmtoolsd.exe、vmwaretray.exe（VMware）、VBoxTray.exe、VBoxService.exe（VirtualBox）以及vmusrvc.exe，利用FindWindow或EnumWindows API枚举顶层窗口，检查窗口类名或标题中是否包含”VMware Host Open”或”VBoxTrayToolWnd”等特征。
为了防止被通过断点或Hook绕过，不应直接调用标准的Process32Next/W，而是在调用前进行简单的校验，或者使用未公开的NtQuerySystemInformation进行原生API调用，这种直接从NT内核层获取进程链表的方法可以绕过某些用户态的隐藏技术,体现了对Windows内核机制的深刻理解。
时序差异与特定指令检测
虚拟机在执行特定指令时，由于需要二进制翻译或陷入模拟，其执行时间与物理机存在显著差异，利用RDTSC（Read Time-Stamp Counter）指令,可以精确测量指令周期。
经典的检测方法是连续调用两次RDTSC，中间插入一条特权指令（如SIDT，存储中断描述符表），在物理机上，SIDT执行极快；而在虚拟机中，处理该指令需要陷入VMM（虚拟机监视器），导致时间戳出现较大的跳跃。设定合理的阈值，如果时间差超过该阈值，则极大概率处于虚拟环境中。STR（存储任务寄存器）和IN指令（操作特定端口，如VMware的0x5658端口）也是常用的触发手段，这种基于时序分析的检测手段,往往能捕获那些试图完美隐藏文件和进程的高级沙箱。
综合解决方案与最佳实践
在实际的Delphi项目中，不应依赖单一函数，而应构建一个反虚拟机管理器类，该类依次执行上述检测方法，并为每种方法返回的布尔值赋予不同的权重，CPUID检测命中可记3分，注册表命中记1分，MAC地址命中记2分，当总分超过设定阈值（如5分）时，程序判定为虚拟机环境并触发自我保护机制（如退出进程、崩溃或运行误导逻辑）。
为了对抗反检测，代码逻辑应当尽量扁平化，避免明显的条件跳转，可以使用混淆技术或计算表来隐藏检测意图，将核心检测代码分散到不同的线程或单元中，增加静态分析的难度，这种纵深防御的策略，确保了即使攻击者修补了某处特征,其他维度的检测依然生效。
相关问答
Q1：为什么在Delphi中使用CPUID指令检测虚拟机被认为是最可靠的方法？
A1： 因为CPUID指令直接查询处理器硬件层面的信息，特别是Hypervisor Present位（ECX第31位）和厂商签名ID，这些信息是由虚拟化层（Hypervisor）在硬件层面提供的，不依赖于操作系统中的文件、注册表或进程，即使分析人员完美隐藏了所有软件层面的痕迹（如删除文件、修改注册表），只要虚拟机还在运行，CPUID指令依然会返回虚拟化厂商的特征,因此极难被伪造或绕过。
Q2：如何防止恶意软件分析人员通过Hook API来绕过Delphi编写的虚拟机检测程序？
A2： 防止API Hook的关键在于减少对高层Win32 API（如CreateFile, RegOpenKey）的依赖，转而使用更底层的手段，可以动态解析系统DLL中的函数地址，而不是静态链接，对于核心检测，直接使用Delphi的内联汇编调用INT 2E或SYSENTER进入内核模式，或者直接调用NtQuerySystemInformation等Native API，在调用API前后进行校验和检查或堆栈完整性检查,也能有效发现被Hook的痕迹。
希望以上技术方案能为您的Delphi开发提供实质性的防护参考，如果您在具体代码实现中遇到汇编层面的兼容性问题，欢迎在评论区探讨,共同完善反虚拟机检测的细节。
