VMware Tools是一個(gè)可選的驅(qū)動(dòng)程序和實(shí)用程序的集合，能夠提高虛擬機(jī)性能，簡化虛擬機(jī)管理。但是虛擬化專家對(duì)安裝VMware Tools的優(yōu)勢(shì)是否勝過其帶來的潛在安全風(fēng)險(xiǎn)這個(gè)問題存在著爭論。

　　一方面，VMware Tools取代了很多客戶操作系統(tǒng)專用于物理硬件的驅(qū)動(dòng)程序。經(jīng)過優(yōu)化的驅(qū)動(dòng)程序能夠顯著提高性能并完善相關(guān)功能(例如，在主機(jī)與虛擬機(jī)之間提供復(fù)制粘貼功能)。但是安裝VMware Tools同樣給原本安全的基礎(chǔ)設(shè)施增加了潛在的虛擬化功能脆弱點(diǎn)。

　　兩位專家就運(yùn)行VMware Tools的價(jià)值展開了爭論：VMware Tools導(dǎo)致了不必要的虛擬安全風(fēng)險(xiǎn)vs.VMware Tools激發(fā)了虛擬基礎(chǔ)設(shè)施的潛能。

　　VMware Tools導(dǎo)致了不必要的虛擬安全風(fēng)險(xiǎn)

　　VMware Tools，尤其是準(zhǔn)虛擬化驅(qū)動(dòng)，經(jīng)常是虛擬機(jī)被攻擊的組件。正因?yàn)槿绱?，我推薦盡可能使用客戶操作系統(tǒng)原有的驅(qū)動(dòng)，僅對(duì)虛擬機(jī)必需的功能才安裝準(zhǔn)虛擬化驅(qū)動(dòng)。

　　準(zhǔn)虛擬化驅(qū)動(dòng)能夠感知到底層的虛擬化層，因此它們能夠走捷徑通過驅(qū)動(dòng)程序?qū)樱绕涫悄軌蛑苯诱{(diào)用客戶操作系統(tǒng)與虛擬機(jī)對(duì)象之間的共享內(nèi)存段。但是準(zhǔn)虛擬化驅(qū)動(dòng)為虛擬基礎(chǔ)設(shè)施增加了另一個(gè)受攻擊面。從理論上講，攻擊這些驅(qū)動(dòng)可能導(dǎo)致服務(wù)阻斷(虛擬機(jī)宕機(jī))，也可能導(dǎo)致黑客從當(dāng)前虛擬機(jī)逃逸(進(jìn)入主機(jī)上的其他虛擬機(jī))——對(duì)虛擬化來說這是一件很可怕的事兒。

　　從當(dāng)前虛擬機(jī)逃逸(Escape-the-VM)的攻擊方式已經(jīng)在所有的type-2 hypervisor中取得了成功。type-2 hypervisor包括了VMware Fusion、VMware Player、VMware Workstation、VMware Server以及Microsoft Virtual Server和Oracle VirtualBox。但這種攻擊方式還未能進(jìn)入裸機(jī)hypervisor的其他虛擬機(jī)。裸機(jī)hypervisor包括了VMware vSphere、Citrix XenServer以及Microsoft Hyper-V。

　　然而，在vSphere中VMware Tools的準(zhǔn)虛擬化驅(qū)動(dòng)已經(jīng)導(dǎo)致了一些安全問題：

　　Vmxnet驅(qū)動(dòng)為虛擬機(jī)提供了高速網(wǎng)絡(luò)。但是vmxnet系列驅(qū)動(dòng)允許網(wǎng)絡(luò)數(shù)據(jù)包打亂時(shí)間戳順序，這可能導(dǎo)致與其他數(shù)據(jù)包的不同步。這一缺陷導(dǎo)致基于TCP/IP服務(wù)的失敗。導(dǎo)致網(wǎng)絡(luò)服務(wù)器網(wǎng)絡(luò)中斷也就意味著中斷服務(wù)。因?yàn)闇?zhǔn)虛擬化驅(qū)動(dòng)導(dǎo)致了這一問題，因此它被認(rèn)為存在虛擬化安全風(fēng)險(xiǎn)(這一問題已經(jīng)被修復(fù))。操作系統(tǒng)供應(yīng)商提供的e1000驅(qū)動(dòng)同樣能夠提供高速網(wǎng)絡(luò)，因此沒有必要使用準(zhǔn)虛擬化驅(qū)動(dòng)。

　　在hypervisor外部VMCI驅(qū)動(dòng)用于虛擬機(jī)之間的通信(也就是虛擬機(jī)使用另一條網(wǎng)絡(luò)路徑)。目前沒有應(yīng)用程序使用該功能，但是啟用VMCI驅(qū)動(dòng)給現(xiàn)存的虛擬機(jī)增加了另外一個(gè)潛在的受攻擊面。

　　VMware的SVGA驅(qū)動(dòng)是VMware Tools最易受到攻擊的驅(qū)動(dòng)，但是只有虛擬桌面才會(huì)用到SVGA驅(qū)動(dòng)。在其他情況下客戶操作系統(tǒng)提供的標(biāo)準(zhǔn)的SVGA驅(qū)動(dòng)就能夠滿足要求而且可以限制虛擬機(jī)的受攻擊面(攻擊SVGA可能導(dǎo)致虛擬機(jī)宕機(jī))。

　　僅在虛擬機(jī)必須使用準(zhǔn)虛擬化驅(qū)動(dòng)提供的功能時(shí)才使用它，為限制虛擬機(jī)風(fēng)險(xiǎn)，你應(yīng)該盡可能地選擇客戶操作系統(tǒng)提供的驅(qū)動(dòng)。