我通常在虚拟机中进行所有的网页浏览。我有一个运行 Ubuntu 并安装了访客服务的“安全”虚拟机。我一般只去我认为值得信赖的网站。
我还有一个“不安全”的 Ubuntu 虚拟机，它没有安装来宾服务。
今晚，当一个烦人的 FBI 弹出窗口出现时，我正在使用不安全的虚拟机浏览互联网上一些不那么美味的区域。没什么大不了的……然后我看到我的主机上的 Norton 弹出了一个对 C:\Windows\SysWOW64\vmnat.exe 的阻止操作。警报名称是“Web Attack: Ransomlock Website 7”，它来自弹出窗口中的假 fbi 网站。这可能并不重要......但作为一个仅供参考，我使用 Chrome 来冲浪。
我不完全了解 VMware NAT 系统，但这听起来像是恶意软件可能已经从 VM 泄漏到我的主机上，或者 Norton 是否了解 vmnat.exe 可能已经调用并发送回 VM。
我主要只是想确保我的主机是“安全的”，但我也很好奇它是如何工作的。
vmnat.exe 是 VMware 的虚拟网络服务：所有进出使用 NAT 网络的客户操作系统的网络数据都通过它。
诺顿无法看到您的虚拟机内部。相反，当虚拟机内的程序执行某项操作时，诺顿会看到虚拟化软件执行该操作。在这种情况下，当您的虚拟化浏览器尝试下载“Ransomlock Website 7”恶意软件时，诺顿看到vmnat.exe下载了它，但没有看到数据随后会被移交给不受它损害的虚拟化操作系统，所以它阻止了下载。
是的，攻击有可能突破虚拟机，但这种情况非常非常罕见。
让我们首先处理 VM 网络。外部地址，通常是可路由的，是 NAT 的“外部”。NAT 后面的机器有一个通常不可路由的“内部”地址。
桥接模式的作用就像您正在桥接的接口现在是一个交换机，并且 VM 已插入其上的端口。一切都像连接到该网络的另一台常规机器一样。
如果您处于桥接模式并且恶意软件感染了它，那么它可以读取您的路由表并可以识别您的网络范围以转移到其他机器。现在来感染。勒索软件是一种典型的恶意软件，可在感染时锁定您的计算机。你在屏幕上看到的图像都是假的。如果您注意到它一定是要求您支付一些罚款来解锁您的计算机。这是勒索软件用来窃取金钱的伎俩。勒索软件到达您的计算机的一种方式是您正在浏览的网站被黑客入侵，并且必须注入一个不可见的 iframe，将您重定向到浏览器漏洞，从而将恶意软件丢弃并执行到您的系统上。为不同的浏览活动提供单独的虚拟机是一个很好的举措。如果您将它们保持在 NAT 网络模式，则感染只会留在虚拟机内部。
另请注意，[例如使用 VirtualBox（在 Win 上）] docker-machine 的“默认”图像通常会创建一个包含所有 /Users 的 Share 文件夹，这样也会很糟糕（并且要确保不会发生某些事情），NAT或不。如前所述，由于感染而挂载的写入可能会被防病毒软件阻止。