本技能面向 hypervisor 与虚拟化层的逆向分析。用途分两轴：轴 A 分析 hypervisor 本身（VT-x/SVM 指令、VMCS/VMCB、EPT/NPT）；轴 B 判断目标系统所见地址、设备、中断是否由虚拟化层制造。
主要能力：CPUID 识别虚拟化（grep -E 'vmx|svm' /proc/cpuinfo；cpuid -1 -l 0x40000000 读厂商字符串）；VMCS 字段解码（access=enc&1; index=(enc>>1)&0x1ff; type=(enc>>10)&3; width=(enc>>13)&3，建 Ghidra 枚举）；EPT 隐藏内存与双视图 hook 分析（INVEPT、EPTP、VM-exit reason 48）；嵌套虚拟化实验（sudo modprobe -r kvm_intel && sudo modprobe kvm_intel nested=1，qemu-system-x86_64 -enable-kvm -cpu host,+vmx）；反虚拟化检测与绕过；以及 Xen、ACRN、Hyper-V/VMBus 等平台的分区、vdev、共享内存语义辨析。
使用方式：先做静态 CPUID 与反编译分析，再按需搭 QEMU/KVM 嵌套沙箱动态验证。
限制：VMCS 布局随 Intel/AMD 平台不同不可复用；AMD NPT 无只执行属性；EPT 无法无痕读写数据段；hypervisor 样本需在隔离环境运行。部分平台细节暂未提供。