x64 架构与内核结构解析：VT 调试器的技术底座
理解 VT 调试器的工作原理，需要从 x64 虚拟化与内核结构入手。本文梳理 VT-x、EPT、页表与驱动通道四条主线，并给出关键数据结构速查表，帮助你在逆向时快速定位。更完整的寄存器与结构字段细节，可参考 kernel.vt01.com 的《Windows 内核结构解析》系列。
核心概念
VT-x 虚拟机扩展
Intel 提供的硬件虚拟化能力，让 CPU 在 VMX root 与 non-root 模式间切换，为调试器提供独立于目标的执行环境。
EPT 扩展页表
虚拟机的第二层地址转换。调试器通过修改 EPT 权限位实现无痕断点与 Hook，不改动目标可见内存。
RING0 驱动通道
调试器驱动运行在内核态，负责内存读写与保护；用户态通过受限接口与驱动通信。
MSR 与 VMCS
VMCS 保存虚拟机的运行状态，包括控制字段与退出原因；MSR 读写是检测虚拟化环境的常见手段。
内核对象与结构
EPROCESS、KPROCESS、PEB 等结构承载进程关键信息，进程伪装本质上是对这些结构的字段级改造。
关键代码
// EPT 权限位（x64）
struct EptEntry {
unsigned long long present : 1;
unsigned long long write : 1;
unsigned long long execute : 1;
unsigned long long phys : 40;
// ...
};
// 置零 execute → 无痕执行陷阱
entry->execute = 0;结构速查表
| VMXON / VMCS | 虚拟化开启指令与状态容器，VMCS 记录 guest/host 状态。 |
|---|---|
| EPT（4 级页表） | PML4 → PDPT → PD → PT 四级结构，权限位 R/W/X 可控。 |
| CR3 / TSS | 页表基址寄存器与任务状态段，切换进程时 CR3 随之更换。 |
| EPROCESS / PEB | 进程内核对象与用户态环境块，进程名/路径/模块列表所在。 |
| IDT / MSR (LSTAR) | 中断描述符表与系统调用入口，Hook 检测的常见目标。 |