核心思路：隔离优先、最小权限、快照兜底、网络分区、边界控制，测试环境不能污染宿主机，测试样本（病毒、恶意脚本、漏洞 POC）不能逃逸到内网 / 互联网。 适用：漏洞复现、Web 安全测试、恶意代码分析、应用功能测试。
一、虚拟化选型
安全提醒：不要用宿主机直接做测试，虚拟机是第一层隔离；恶意代码分析建议单独使用沙箱系统（如 Remnux、Cuckoo）。
二、网络规划（最重要，防止样本逃逸）
虚拟机网卡有几种模式，安全测试严禁直接桥接：
仅主机模式（Host-only）【推荐靶场】 虚拟机只能和宿主机、同仅主机网段虚拟机通信，不能访问外网。适合漏洞复现、内网渗透靶场。
NAT 模式 虚拟机可以访问外网，外部无法主动访问虚拟机。适合需要下载工具，但不希望外网直接连虚拟机。
桥接模式 ❌高危 虚拟机和宿主机在同一个局域网，虚拟机相当于局域网内一台真实电脑。一旦虚拟机中毒，恶意程序会横向扫描内网设备。除非特殊需求，安全测试禁止桥接。
额外网络加固：
单独创建独立虚拟交换机，不和宿主机网卡混用；
虚拟机防火墙：默认拒绝入站，按需放行端口；
禁止虚拟机开启 IP 转发；
若需要互联网：使用 NAT + 宿主机防火墙限制，不开放内网路由。
三、虚拟机系统基线与安全配置
1. 操作系统选择
Windows 靶机：Win10/Win11、Server2016/2019，尽量纯净原版，不要用精简 Ghost 系统（自带后门 / 漏洞）
Linux 靶机：Ubuntu、CentOS、Debian，官方 ISO 校验 SHA256 哈希
2. 系统基础加固（测试机也需要，防止逃逸）
最小化安装：不需要的组件、服务全部不装，减少攻击面
账号策略：
禁用 guest 账户；
日常使用普通用户，不长期使用管理员 /root；
设置强密码，不要空密码、弱口令；
关闭不必要服务：远程桌面、SMB、FTP 等不用就关闭；
关闭自动更新（测试环境防止环境突变，但要记住这是风险点）；
安装基础防护：
Windows：Defender，恶意代码分析场景可临时关闭（仅测试机！宿主机保持开启）
Linux：fail2ban，iptables/nftables
⚠️ 重要：宿主机杀毒软件不要关闭，作为第二道防线。
四、快照与备份机制（测试环境的 “还原药”）
干净基线快照：系统部署完成、配置好环境后，立刻打一个纯净快照，每次测试完成恢复到此快照；
命名示例：
Win10-Base-Clean 2026-09，确认无任何测试样本；
每次做危险测试（恶意程序、提权、病毒）前，新建快照；
快照不要无限堆积，定期清理；
不要依赖快照做长期存储，重要数据单独导出到宿主机隔离目录。
操作流程模板：
恢复基线快照 → 启动虚拟机 → 开展测试 → 测试结束 → 关机 → 回滚基线快照
五、文件传输安全控制
虚拟机 ↔ 宿主机文件共享是高危逃逸通道：
尽量禁用共享文件夹、拖拽复制、剪贴板共享（VMware/VirtualBox 都可以关闭）
如果必须传文件：
方案 A：仅主机网段内搭建临时 HTTP 服务，虚拟机下载；测试完立刻关闭服务；
方案 B：宿主机单独隔离目录，传输完成后扫描杀毒；
禁止直接把恶意样本放在宿主机共享目录；
禁止虚拟机挂载宿主机本地磁盘。
六、分层测试环境架构（多靶机场景）
宿主机
├─ 虚拟交换机 Host-only（隔离网段，无外网）
│ ├─ 靶机A（Web服务）
│ ├─ 靶机B（数据库）
│ └─ 攻击机（Kali）
└─ NAT虚拟交换机（攻击机需要外网下载工具时单独接入）
攻击机（Kali）双网卡：一块仅主机访问靶场，一块 NAT 访问外网；靶机只接仅主机网卡，不能访问外网；
靶场内部流量互相可达，但无法触达真实局域网。
七、风险分级与红线规则
✅ 低风险：Web 应用测试、普通功能测试
NAT / 仅主机均可，开启剪贴板、共享文件夹（按需）
⚠️ 中风险：漏洞复现、内网渗透测试
仅主机网络，关闭剪贴板、拖拽、共享文件夹，测试前快照
❗高风险：恶意代码、病毒、木马分析
必须Host-only 隔离网络，切断对外访问；
关闭虚拟机剪贴板、文件共享；
宿主机开启杀毒；
优先使用专用恶意代码分析虚拟机（Remnux）；
禁止在宿主机打开恶意样本。
绝对红线
测试恶意程序时，禁止桥接网卡接入真实局域网；
不要在生产、办公电脑宿主机跑高危恶意样本；
测试环境账号不要复用生产账号密码；
不要把生产数据放入测试虚拟机（脱敏都不行，尽量不用真实敏感数据）。
八、额外安全增强方案
硬件虚拟化防护：宿主机 BIOS 开启 Intel VT-x / AMD-V；部分恶意代码会尝试 VM 检测、VM 逃逸，高危场景可配置 VMware 隐藏虚拟机特征（修改注册表、vmx 配置）；
日志留存：虚拟机开启系统日志，方便复盘；
权限隔离：宿主机使用普通用户运行虚拟机软件，而不是宿主机管理员；
独立硬件：如果长期做恶意代码分析，建议使用独立物理机作为宿主机，不和办公机混用。
九、快速上手极简流程
安装 VMware，新建 Host-only 虚拟网卡；
下载原版系统镜像，校验哈希；
创建虚拟机，网卡选择 Host-only，关闭共享文件夹、剪贴板；
安装系统，基础加固；
关机，打【干净基线快照】；
启动虚拟机，开展测试；
测试完毕关机，回滚基线快照。