虚拟机启动时，BIOS其实是个“演员”
很多人以为虚拟机里的操作系统启动时，真的在运行一个物理BIOS。其实不然，在大多数主流虚拟化平台如VMware、VirtualBox或Hyper-V中，所谓的“BIOS”只是模拟出来的一段固件代码，更准确地说，是OVMF（Open Virtual Machine Firmware）这类UEFI实现的轻量替代品。
当你看到虚拟机里闪过“Press F2 to enter setup”时，那根本不是硬件在响应，而是虚拟机监控器（Hypervisor）在后台悄悄截获了按键指令，并模拟出对应的交互行为。这种“表演”连操作系统都骗过去了。
内存分配中的“影子游戏”
虚拟机宣称分配了4GB内存，但宿主机实际占用可能远超这个数字。这是因为除了客户机操作系统使用的内存外，还有页表映射、EPT（扩展页表）缓存、显存模拟等额外开销。
更有趣的是，某些虚拟化环境下会启用“内存气球”（Balloon Driver）技术。它像一个可膨胀的气囊，当宿主机资源紧张时，会从虚拟机内部主动“回收”空闲内存。这听起来有点像房东临时收回一间空房转租给别人，而你还浑然不觉。
网卡MAC地址的“身份证复制”
每次新建虚拟机，系统都会自动生成一个MAC地址。很多人以为这是随机的，但实际上很多虚拟化平台使用特定的OUI（组织唯一标识符），比如VMware的00:0C:29，VirtualBox的是08:00:27。
这意味着，只要看一眼MAC地址，老手就能猜出这台虚拟机是哪个平台创建的。就像通过笔迹判断出自哪位作家之手。如果你在做渗透测试或者隐藏虚拟环境痕迹，这点尤其需要注意。
嵌套虚拟化的“俄罗斯套娃”
你有没有试过在一台虚拟机里再安装另一台虚拟机？这就是嵌套虚拟化。默认情况下，多数虚拟机禁止这种操作，因为CPU的虚拟化标志（如Intel VT-x）已经被第一层虚拟机占用。
但在VMware Workstation Pro中，可以通过修改.vmx配置文件手动开启：
vhv.enable = "TRUE"
enhanced_vmirom_enable = "TRUE"保存后重启虚拟机，就能在里面跑Docker Desktop甚至WSL2——而这整个环境，本身已经在一个虚拟机中。现实世界和虚拟世界的边界，就这样被悄悄模糊了。
快照不是“拍照”，而是“时间冻结术”
虚拟机快照常被比喻成“拍照”，但其实更像是一种写时复制（Copy-on-Write）的时间分层技术。当你创建快照后，原始磁盘镜像会被设为只读，所有新写入都被记录到一个增量文件中。
如果你连续创建五个快照，实际上得到的是一条分支化的写入链。恢复快照时，并不是替换回原始状态，而是让后续的写入“失效”，仿佛时间倒流。这种机制在数据库备份、漏洞复现中特别有用，但也容易因误删快照导致整条链断裂。
无声的剪贴板共享
你在宿主机复制一段文字，粘贴进虚拟机——这个看似简单的操作，背后是宿主机与客户机之间通过虚拟化通道进行的IPC通信。VMware Tools或VirtualBox Guest Additions本质上是在客户机内运行了一个特权服务，监听来自宿主机的消息。
这项功能虽然方便，但也曾曝出安全漏洞。例如CVE-2020-4006，攻击者可通过恶意构造的剪贴板内容远程执行代码。所以，在高敏感环境中，建议关闭双向剪贴板共享。