简介这份PDF面向需要安装并稳定运行CAD与CASS11的测绘、地理信息及工程制图人员聚焦启动时出现“请不要在虚拟机中运行此程序”提示的兼容性故障。内容以CAD2016CASS11实测环境为参照梳理虚拟机残留、Windows内存完整性、系统功能启用状态、Hypervisor启动配置及BIOS虚拟化开关等五类排查方向并提示修改系统设置前做好数据备份便于读者按自身机器环境逐项定位原因。压缩包仅含1个PDF文件大小约1.87MB轻量易查阅适合在装机或排错现场快速对照。该资料已有4558人学习可作为CAD/CASS11安装配置与故障排除的参考手册帮助技术人员建立从系统环境到硬件虚拟化的完整排错思路减少反复重装与无效尝试。1. 一句提示卡住整个出图流程CASS11 与虚拟机的对抗到底在防什么装好 CAD再装 CASS11双击图标弹窗只有一行字“请不要在虚拟机中运行此程序”。机器是实打实的物理机任务管理器里也没开着任何虚拟机软件程序还是认定你在虚拟机里跑。这类 CAD CASS 软件安装与故障排除的活儿卡点往往不在软件本身而在操作系统底层的虚拟化开关。踩这个坑的多是要赶着成图、算土方的测绘作业人员以及在同一台机器上兼顾开发环境的 GIS 从业者——前者只想尽快开工后者装过一堆虚拟机、容器和沙箱工具恰恰是最容易被误判的一批人。2. 虚拟化检测的判定链路从 CPUID 标志位到系统服务很多人第一反应是“我没装虚拟机啊”然后开始怀疑版本、怀疑安装包、怀疑系统。这种玄学式排查最耗时间。想少走弯路得先接受一个事实程序从来不去“看”你有没有装虚拟机它只看 CPU 报出来的一个标志位。2.1 程序看到的第一手证据hypervisor present 位x86 处理器有一条 CPUID 指令其中 leaf 1 返回的 ECX 寄存器里第 31 位叫 hypervisor present bit。只要当前 CPU 上跑着一层虚拟机监控程序hypervisor这一位就会被置 1。物理机上如果没有任何虚拟化层它是 0。关键在于这一位不区分“你主动装的虚拟机”和“Windows 自己拉起来的安全虚拟化层”。现代 Windows 为了跑内核隔离、凭据保护这类功能会在开机时把自己变成一个 root hypervisor把系统本体放进一个分区里运行。此时程序一读 CPUIDhypervisor present 位就是 1它不管三七二十一直接判定你在虚拟机中。除了这一位程序通常还会交叉验证几处信息常见做法是读 CPUID 0x40000000 这个叶子拿到 hypervisor 厂商字符串合法值形如 “Microsoft Hv”“VMwareVMware”“VBoxVBoxVBox”“KVMKVMKVM”查 SMBIOS 里的系统厂商与型号字段看网卡 MAC 前缀00:05:69、00:0C:29、00:50:56 属于一类虚拟机产品08:00:27 属于另一类查磁盘控制器型号甚至读注册表里与虚拟化相关的键值。五项里命中任意两项基本就触发拦截。提示所以“卸载虚拟机软件”只对第三方虚拟化有效对 Windows 自带的虚拟化安全功能完全无效。这就是为什么有的人卸了虚拟机提示照样弹。2.2 Windows 上的三层虚拟化堆栈别只盯着最上面那层把 Windows 上的虚拟化拆开看是三层的结构排查时按层往下走最省力。第一层是固件层也就是主板 BIOS/UEFI 里的 Intel VT-x 或 AMD-VSVM开关。这是硬件虚拟化的总闸关掉之后上面两层都起不来但代价是 WSL2、Docker Desktop、安卓模拟器、部分沙箱工具会一起失效。第二层是 Hypervisor 层包括 Hyper-V 角色本身以及基于虚拟化的安全VBS。VBS 下面挂着两个常客内存完整性HVCI代码完整性保护和凭据保护Credential Guard。这一层是 Windows 自己拉起来的用户往往毫无感知。任务管理器里看不到“虚拟机”但 CPUID 的那一位确实是 1。第三层是用户态的第三方虚拟机软件也就是常见的桌面虚拟化产品。这一层的特征是留有明确的服务和驱动虚拟网卡、USB 控制器驱动、后台服务等。三层里第二层是绝大多数人翻车的地方。因为它的开关藏在“Windows 安全中心 → 设备安全性 → 内核隔离”这种不显眼的位置默认状态还常常是开启的。2.3 先用三条命令把现状摸清再决定动哪一层动手改之前建议先花两分钟把当前状态采集下来。改完之后有对照才知道是哪一项起了作用。# 采集系统对 Hypervisor 的自报状态 # HypervisorPresent True 时带反虚拟化检测的程序大概率会拦你 Get-CimInstance -ClassName Win32_ComputerSystem | Select-Object Manufacturer, Model, HypervisorPresent # 查看 VBS基于虚拟化的安全与内存完整性HVCI的运行状态 # SecurityServicesRunning 是数组1凭据保护2内存完整性3System Guard # VirtualizationBasedSecurityStatus0未启用1已启用但未运行2已启用且运行中 Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard | Select-Object VirtualizationBasedSecurityStatus, SecurityServicesRunning, SecurityServicesConfigured # 看 Hyper-V 的加载方式是否被写进了启动配置 bcdedit /enum {current} | Select-String -Pattern hypervisorlaunchtype第一段命令的输出重点是HypervisorPresent它直接对应 CPUID 那一位的系统侧视图。如果这里是 True 而你又确实没装虚拟机问题百分之百出在第二层的 VBS 或 Hyper-V 上。第二段命令里SecurityServicesRunning中如果出现 2说明内存完整性正在运行VirtualizationBasedSecurityStatus为 2 则说明 VBS 整体在跑。这两项是重点嫌疑对象。第三段命令看hypervisorlaunchtype的值Auto表示开机加载 hypervisorOff表示不加载。这条值是后面第 3 章要用到的关键开关。提示命令要在管理员权限的 PowerShell 里跑普通权限下Win32_DeviceGuard这个类可能返回空值会让你误以为功能没开。3. 按代价从低到高动手五个层级的处置顺序网上传的办法一大堆顺序五花八门。我的习惯是按“可逆性”排序先做完全无损的再做只影响安全功能的再做影响开发环境的最后才碰固件。这样一旦某一层解决了问题就不用继续往下走回滚成本最低。3.1 先摘掉第三方虚拟化组件但别急着删程序方法一是最直接的一类把本机的第三方虚拟机软件停掉或卸载。判断标准不是“程序列表里有没有”而是“后台服务和驱动还在不在”。虚拟机的内核驱动常在系统启动早期加载即使主程序没运行驱动也可能已经把虚拟化痕迹写进了系统信息。所以光退出托盘图标没用得去服务里看。# 列出名称或描述里带虚拟化关键词的服务重点看 State 是否为 Running Get-Service | Where-Object { $_.Name -match vmx86|vmci|vmware|vbox|virtualbox|hyper-v|vmms|vmcompute } | Select-Object Name, DisplayName, Status, StartType # 列出还在位的虚拟网卡这类网卡的 MAC 前缀本身就是检测特征 Get-NetAdapter | Where-Object { $_.InterfaceDescription -match VMware|VirtualBox|Hyper-V|Virtual } | Select-Object Name, InterfaceDescription, MacAddress, Status第一段命令的Name字段是服务内部名StartType是关键如果是Automatic且Status为Running说明它在开机就跑。要在不卸载主程序的前提下先排掉嫌疑可以把启动类型改成手动再重启观察提示是否消失。第二段命令看虚拟网卡。哪怕虚拟机软件已经卸载网卡有时会残留成“已禁用”状态检测逻辑照样能读到。用设备管理器把带黄色感叹号或不带感叹号的残留虚拟网卡一并移除是最彻底的清理。这一步的代价几乎为零可逆性满分改回Automatic重启就恢复。但要清楚它只对第三方虚拟化有效对 Windows 自带的 VBS 一点用没有。3.2 关掉内存完整性命中率最高的一刀方法二针对的是 VBS 下的内存完整性。路径是 Windows 安全中心 → 设备安全性 → 内核隔离详细信息 → 内存完整性把开关关掉按提示重启。这一步在多数机器上就是终点。因为内存完整性一旦启用Windows 就是 root hypervisorCPUID 的那一位恒为 1程序必然拦截。关掉之后 hypervisor 不再加载标志位归零。但有个高频故障打开 Windows 安全中心页面是空白的压根找不到这个开关。原因是安全中心的宿主服务SecurityHealthService启动类型被改成了禁用常见于某些精简系统镜像或第三方安全软件接管之后。修复方式是用管理员权限的 CMD 把服务启动类型改回手动然后重启:: Start 值含义2自动3手动4禁用 :: 改成 3手动后安全中心由系统按需拉起界面才能正常渲染 REG ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecurityHealthService /v Start /t REG_DWORD /d 3 /f :: 顺便确认一下服务当前状态Normal 表示未被禁用 SC QUERY SecurityHealthServiceREG ADD里的/f表示存在同名值时强制覆盖不加会弹交互确认在批处理里容易卡住。改完必须重启服务启动类型在运行期不会重新读取。注意关闭内存完整性会削弱系统对内核级代码篡改的防护。如果你日常在这台机器上处理外来文件、插拔移动介质建议问题定位清楚后把这层重新打开用别的方式绕过检测。3.3 关闭 Hyper-V 相关的三个 Windows 功能方法三走控制面板 → 程序和功能 → 启用或关闭 Windows 功能取消勾选与虚拟化相关的项。图形界面容易漏因为不同 Windows 版本里这些功能的显示名不完全一样有的还藏在子项里。命令行做这件事更可控也方便记录改了什么:: 关闭三个与虚拟化直接相关的可选功能 :: Microsoft-Hyper-V-All Hyper-V 全套组件 :: VirtualMachinePlatform 虚拟机平台WSL2 与部分安卓模拟器依赖它 :: HypervisorPlatform 第三方虚拟化调用的 hypervisor 接口层 dism /online /disable-feature /featurename:Microsoft-Hyper-V-All /norestart dism /online /disable-feature /featurename:VirtualMachinePlatform /norestart dism /online /disable-feature /featurename:HypervisorPlatform /norestart :: 逐项查询状态State : Disabled 才算真正关掉 dism /online /get-featureinfo /featurename:Microsoft-Hyper-V-All | findstr /i State dism /online /get-featureinfo /featurename:VirtualMachinePlatform | findstr /i State/norestart的作用是让三条命令连续执行完再统一重启避免装一条重启一次。三条都执行完手动重启。/featurename:后面跟的是功能内部名不是界面上显示的中文名。写错会返回“功能名称未知”这时用dism /online /get-features | findstr /i hyper查一下实际名称。这一步的副作用要提前想清楚关掉VirtualMachinePlatform之后WSL2 会直接报错无法启动Docker Desktop 的 WSL2 后端也会挂。如果这台机器同时要做开发得先权衡或者改用 Hyper-V 后端之外的其他方案。3.4 用 bcdedit 拿掉 hypervisor 的启动加载方法四是最“外科手术”的一刀直接告诉引导管理器这次别加载 hypervisor。命令很短效果比前面几步都直接。:: off 表示开机不加载 hypervisor重启后生效 bcdedit /set hypervisorlaunchtype off :: 查询当前引导项的完整配置确认改动已写入 bcdedit /enum {current} :: 需要恢复时执行这条 bcdedit /set hypervisorlaunchtype auto{current}是当前引导项的标识符枚举时会看到identifier字段。hypervisorlaunchtype有三个有效值Off、Auto、Explicit。Explicit用于需要手动指定加载参数的场景日常排错用不到。这一条和 3.2、3.3 的关系要理清hypervisorlaunchtype off是“不让 hypervisor 起来”而 VBS 的某些配置项会在引导时强行把它拉回来。所以存在这样的现象——命令执行成功bcdedit /enum里也确实是Off重启后提示照旧。遇到这种情况先跑第 2 章那段Win32_DeviceGuard查询看VirtualizationBasedSecurityStatus是不是还是 2。如果是说明 VBS 在另一条路径上生效需要回到 3.2 把内存完整性关掉两条路一起断才行。提示bcdedit 必须在管理员权限下执行普通权限会提示“拒绝访问”但这个错误信息不显眼容易被忽略成命令写错。3.5 最后一招进 BIOS/UEFI 关掉硬件虚拟化方法五动的是固件层关掉 Intel VT-x 或 AMD-V部分主板标为 SVM Mode、Virtualization Technology、VT-d。这是总闸关掉之后上面所有层次都起不来问题必然解决。代价也最大所有依赖硬件虚拟化的软件全部失效。而且这一步在不同主板上位置差异极大通常在 Advanced → CPU Configuration或者 Security → Virtualization 下面部分品牌机还藏在超频菜单里。进 BIOS 前有两个细节值得留意。一是部分主板开了快速启动后开机按键窗口只有一两秒进不去设置界面需要先在系统里执行一次完整关机shutdown /s /t 0不是重启再开机。二是改完保存退出时有的主板会问是否加载默认设置选“否”否则前面调过的启动顺序会一起被重置。这一步建议放在最后且只在前四步全部无效时使用。用过之后一定记下改了什么否则半年后要用 WSL2会完全想不起来为什么装不上。3.6 改完怎么验证别靠“打开看看”每改一层重启后都用同一组命令复验别凭感觉。同一份输出改前改后对比哪一项翻转了一目了然。# 一次性打印三个关键指标 $cs Get-CimInstance Win32_ComputerSystem $dg Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard HypervisorPresent : $($cs.HypervisorPresent) VBS Status : $($dg.VirtualizationBasedSecurityStatus) SecurityServicesRunning: $($dg.SecurityServicesRunning -join ,) FirmwareVirtualization : $((Get-CimInstance Win32_Processor).VirtualizationFirmwareEnabled)判断标准很明确HypervisorPresent为False、VBS Status为 0、SecurityServicesRunning为空三项同时满足基本可以确认程序不会再弹出那句提示。FirmwareVirtualization为False说明固件层的开关已经关掉这一项是你在 BIOS 里改动的直接证据。如果三项都满足了提示还在那就要怀疑检测逻辑走的是网卡 MAC、磁盘型号或者注册表里其他特征这时候再回到 3.1 去清理残留。4. 五个踩坑记录现象、原因与处置这一章是从反复重装里攒出来的。按现象、原因、解决三段来写方便对上号。4.1 内存完整性关掉后自己又打开了现象按 3.2 关掉开关重启进系统再看开关又回到打开状态提示照旧。原因通常有三种。一是这台机器加入了组织级的设备管理策略通过组策略或移动设备管理通道下发本地改动会被覆盖回去。二是第三方安全软件接管了内核隔离的配置它的界面里有独立开关。三是 Windows 更新在某些补丁里重新下发了默认配置。解决先用gpresult /h report.html导出策略结果搜DeviceGuard或HVCI关键字确认是否有策略项。有的话需要联系设备管理员调整策略本地硬改无效。没有策略的话检查第三方安全软件的内核防护开关把它先关掉再改系统设置否则两边会互相拉扯。改完之后隔一两天再复查一次确认没有被回滚。4.2 安全中心页面白屏或直接闪退现象点开 Windows 安全中心主界面一片空白设备安全性入口点不进去或者点了直接退出。原因SecurityHealthService服务被禁用宿主进程起不来界面就没有渲染依赖。也有一部分是系统组件注册损坏。解决先按 3.2 的REG ADD把启动类型改回 3 并重启。如果重启后还是白屏用管理员 PowerShell 重新注册安全中心的应用包# 重新注册 Windows 安全中心应用包修复组件注册信息 Get-AppxPackage -Name Microsoft.Windows.SecHealthUI | ForEach-Object { Add-AppxPackage -DisableDevelopmentMode -Register $($_.InstallLocation)\AppXManifest.xml }-DisableDevelopmentMode表示以非开发模式注册-Register后面跟的是应用包清单路径。执行完不用重启重新打开安全中心即可。如果这条命令报找不到包说明系统组件被精简过只能走系统修复安装。4.3 bcdedit 执行成功重启后提示依旧现象bcdedit /set hypervisorlaunchtype off返回“操作成功完成”bcdedit /enum里也显示Off重启后提示原样出现。原因VBS 通过另一条路径把 hypervisor 拉起来了。典型情形是内存完整性仍处于启用状态或者启用了安全启动加核心隔离的组合配置。这种情况下引导项的值被后续阶段覆盖。解决先跑第 2 章那段 DeviceGuard 查询看 VBS 状态。如果仍是 2回到 3.2 关内存完整性两步都做完再重启。另外确认一下系统是不是开了“虚拟机平台”这个可选功能——它单独存在时也会拉起轻量级 hypervisor对应 3.3 里的VirtualMachinePlatform。4.4 关了虚拟化开发环境全线阵亡现象提示消失了CASS11 能开了。但同一台机器上的容器工具启动报错安卓模拟器提示“VT-x 未开启”某些本地虚拟机无法启动。原因硬件虚拟化是这些工具的必要条件关掉之后它们没有可用的执行环境。这是 3.4、3.5 两步的必然代价不是配置错误。解决分两条路。如果只是偶尔用 CASS11可以在引导菜单里加一个独立启动项专门用于运行测绘软件另一个启动项保持虚拟化开启用bcdedit /copy复制当前引导项再分别配置开机时选。如果必须同机同时用那就别关固件层的 VT-x只关 Windows 侧的 VBS通常已经足够让检测通过——这一点在多数机器上验证过代价小得多。4.5 改动之后授权信息需要重新绑定现象软件能正常启动了但提示授权无效、需要重新绑定设备。原因部分测绘软件的授权与本机硬件指纹绑定指纹通常由主板、硬盘序列号、网卡 MAC 等信息组合而成。改动系统虚拟化配置本身一般不影响指纹但如果在排查过程中换了网卡、禁用了某块网卡、重装过系统组件指纹就会变。解决动手之前先记录一份硬件指纹基线包括主板序列号、系统盘序列号、物理网卡 MAC。改完如果授权失效对比基线找出变了哪一项优先恢复那一项而不是重新走授权流程。# 采集硬件指纹基线改动系统前先跑一遍并另存 [ordered]{ BaseBoard (Get-CimInstance Win32_BaseBoard).SerialNumber Disk (Get-CimInstance Win32_DiskDrive | Select-Object -First 1).SerialNumber PhysicalMac (Get-NetAdapter -Physical | Where-Object Status -eq Up).MacAddress -join ; } | ConvertTo-Json | Out-File $env:USERPROFILE\Desktop\hw-baseline.json -Encoding utf8-Physical只列物理网卡排除虚拟网卡干扰Status -eq Up过滤掉未连接的。输出成 JSON 存在桌面比截图靠谱。这个习惯看起来多此一举但真出问题时能省掉一趟返工。5. 改完别留烂摊子回滚脚本与并存环境处理排查过程中动过的东西如果不记录下来三个月后就是一笔糊涂账。这一章讲的是怎么把改动管住。5.1 动手前先落三份快照第一份是引导配置。bcdedit /enum all bcd-before.txt把全部引导项导成文本里面有hypervisorlaunchtype的原始值。别只截当前项多系统机器上其他引导项的配置也在里面。第二份是功能状态。dism /online /get-features /format:table features-before.txt几百行文本重装系统之前不用怕丢。恢复时拿这份文件逐行对比比凭记忆靠谱。第三份是 BIOS 设置。进设置界面前先用手机把每个页面拍一遍尤其是 Advanced 和 Security 两个大项。BIOS 的设置项名称五花八门靠回忆找“原来那个开关叫什么”非常痛苦。提示三份快照统一放到一个带日期的文件夹里命名里带上机器标识。手上有几台机器要处理时这个习惯能救命。5.2 逐项回滚的顺序与命令回滚顺序和改动顺序相反从最底层往回退。先恢复固件设置再恢复引导配置最后恢复系统功能。:: 1. 恢复 hypervisor 的自动加载 bcdedit /set hypervisorlaunchtype auto :: 2. 恢复三个可选功能 dism /online /enable-feature /featurename:HypervisorPlatform /norestart dism /online /enable-feature /featurename:VirtualMachinePlatform /norestart dism /online /enable-feature /featurename:Microsoft-Hyper-V-All /norestart :: 3. 确认安全中心服务启动类型未被残留修改正常应为 3 手动 REG QUERY HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecurityHealthService /v Start :: 4. 全部执行完后重启 shutdown /r /t 0顺序上有个细节hypervisorlaunchtype必须先恢复成auto否则即使功能装回来了hypervisor 依然不会加载WSL2 还是会报错。这一步很多人漏掉误以为是功能安装失败。/norestart同样是为了三条命令连跑。第三条里的REG QUERY只读不写用来核对值显示为0x3就是正常的。5.3 多版本 CAD 并存时的注意事项同一台机器上装两三个版本的 CAD 是常有的事。CASS 作为插件挂在 CAD 上运行注册表里会写一串与宿主版本相关的键值。需要留意的是修复虚拟化问题时不涉及 CAD 本身但如果为了排查重装过 CAD注册表里的路径和组件注册会全部重来这时 CASS 可能识别不到宿主。表现是启动时报“未找到 CAD 环境”而不是那句虚拟机提示。处理办法是修复安装 CASS选“修复”而不是“卸载重装”后者会清掉配置。修复后再打开如果还是找不到宿主检查 CAD 的安装路径里有没有中文或空格——这类插件对路径的兼容性一向不宽容。另一个容易忽略的点是权限。CASS 启动时需要写入自己的配置目录如果安装在C:\Program Files下而当前账户不是管理员会静默失败或者随机报错。我的做法是给主程序建一个快捷方式属性里勾选“以管理员身份运行”一劳永逸。这不算优雅但有效。5.4 组策略与域环境下的例外情况如果机器加入了某个统一管理的环境前面所有本地改动都可能被策略覆盖。判断方法很简单改完之后过一天再看如果自动恢复了基本就是策略在起作用。这时本地硬碰没有意义正确的路径是查看生效的策略项。gpresult /r能看到应用到本机的策略对象列表/h导出报告后搜DeviceGuard、HVCI、Virtualization几个关键词能定位到具体是哪条策略下发的。注意在受管环境里改系统安全配置可能违反使用规范。这种情况下更稳妥的做法是与管理员沟通为特定软件申请例外而不是自己绕过。6. 一套可复用的采集脚本把“改前改后”变成一张对照表真正的省事不是记住哪条命令而是有一套固定动作每次遇到同类问题直接跑把结果存下来对比。下面这段脚本我放在一个固定的目录里遇到“软件怀疑我在虚拟机里跑”这类问题就双击跑一次输出存成带时间戳的文本。# 采集虚拟化相关全量状态输出到桌面并带时间戳 $out $env:USERPROFILE\Desktop\vstate-$(Get-Date -Format yyyyMMdd-HHmm).txt $dg Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard $cs Get-CimInstance Win32_ComputerSystem $cpu Get-CimInstance Win32_Processor $vNic Get-NetAdapter | Where-Object { $_.InterfaceDescription -match VMware|VirtualBox|Hyper-V|Virtual } $rows [ordered]{ 采集时间 Get-Date -Format yyyy-MM-dd HH:mm:ss 主板厂商 (Get-CimInstance Win32_BaseBoard).Manufacturer 系统型号 $cs.Model 存在Hypervisor $cs.HypervisorPresent VBS状态 $dg.VirtualizationBasedSecurityStatus 安全服务运行 ($dg.SecurityServicesRunning -join ,) 固件虚拟化 $cpu.VirtualizationFirmwareEnabled 虚拟网卡数 ($vNic).Count 虚拟网卡列表 (($vNic).Name -join ;) } $rows.GetEnumerator() | ForEach-Object { {0,-16}: {1} -f $_.Key, $_.Value } | Tee-Object -FilePath $out Write-Host n已保存到: $out -ForegroundColor CyanTee-Object的作用是同时输出到屏幕和文件排查时不用来回找文件。[ordered]保证输出顺序固定两次采集的文件可以直接用文本对比工具 diff。判断逻辑整理成一张表采集完对号入座字段正常值物理机且未拦截被判定为虚拟机的典型值对应处置存在HypervisorFalseTrue关内存完整性或 bcdedit offVBS状态02关闭内核隔离下的内存完整性安全服务运行空2同上2 即 HVCI固件虚拟化False 或 True 均可True 且前三项异常最后才考虑 BIOS 关闭虚拟网卡数0 或仅物理网卡0 且含虚拟网卡清理残留虚拟网卡表里最容易被误读的是“固件虚拟化”这一行。它为 True 并不必然导致拦截真正的判定触发点在前三行。我见过有人一上来就进 BIOS 关 VT-x结果 WSL2 挂了、模拟器不能用了回来一看内存完整性还开着——白折腾一趟。从那以后我每次处理这类问题都是先跑一遍采集脚本存基线改一层跑一次四次以内必定定位到具体是哪一项在起作用也再没出现过“改完能用了但不知道改对了什么”的情况。希望帮到你。本文还有配套的精品资源点击获取 
长河君 · 2026/10/29 21:32:40 · 阅读 1.2k CASS11提示不要在虚拟机中运行：从CPUID到VBS的排查与解决
简介这份PDF面向需要安装并稳定运行CAD与CASS11的测绘、地理信息及工程制图人员聚焦启动时出现“请不要在虚拟机中运行此程序”提示的兼容性故障。内容以CAD2016CASS11实测环境为参照梳理虚拟机残留、Windows内存完整性、系统功能启用状态、Hypervisor启动配置及BIOS虚拟化开关等五类排查方向并提示修改系统设置前做好数据备份便于读者按自身机器环境逐项定位原因。压缩包仅含1个PDF文件大小约1.87MB轻量易查阅适合在装机或排错现场快速对照。该资料已有4558人学习可作为CAD/CASS11安装配置与故障排除的参考手册帮助技术人员建立从系统环境到硬件虚拟化的完整排错思路减少反复重装与无效尝试。1. 一句提示卡住整个出图流程CASS11 与虚拟机的对抗到底在防什么装好 CAD再装 CASS11双击图标弹窗只有一行字“请不要在虚拟机中运行此程序”。机器是实打实的物理机任务管理器里也没开着任何虚拟机软件程序还是认定你在虚拟机里跑。这类 CAD CASS 软件安装与故障排除的活儿卡点往往不在软件本身而在操作系统底层的虚拟化开关。踩这个坑的多是要赶着成图、算土方的测绘作业人员以及在同一台机器上兼顾开发环境的 GIS 从业者——前者只想尽快开工后者装过一堆虚拟机、容器和沙箱工具恰恰是最容易被误判的一批人。2. 虚拟化检测的判定链路从 CPUID 标志位到系统服务很多人第一反应是“我没装虚拟机啊”然后开始怀疑版本、怀疑安装包、怀疑系统。这种玄学式排查最耗时间。想少走弯路得先接受一个事实程序从来不去“看”你有没有装虚拟机它只看 CPU 报出来的一个标志位。2.1 程序看到的第一手证据hypervisor present 位x86 处理器有一条 CPUID 指令其中 leaf 1 返回的 ECX 寄存器里第 31 位叫 hypervisor present bit。只要当前 CPU 上跑着一层虚拟机监控程序hypervisor这一位就会被置 1。物理机上如果没有任何虚拟化层它是 0。关键在于这一位不区分“你主动装的虚拟机”和“Windows 自己拉起来的安全虚拟化层”。现代 Windows 为了跑内核隔离、凭据保护这类功能会在开机时把自己变成一个 root hypervisor把系统本体放进一个分区里运行。此时程序一读 CPUIDhypervisor present 位就是 1它不管三七二十一直接判定你在虚拟机中。除了这一位程序通常还会交叉验证几处信息常见做法是读 CPUID 0x40000000 这个叶子拿到 hypervisor 厂商字符串合法值形如 “Microsoft Hv”“VMwareVMware”“VBoxVBoxVBox”“KVMKVMKVM”查 SMBIOS 里的系统厂商与型号字段看网卡 MAC 前缀00:05:69、00:0C:29、00:50:56 属于一类虚拟机产品08:00:27 属于另一类查磁盘控制器型号甚至读注册表里与虚拟化相关的键值。五项里命中任意两项基本就触发拦截。提示所以“卸载虚拟机软件”只对第三方虚拟化有效对 Windows 自带的虚拟化安全功能完全无效。这就是为什么有的人卸了虚拟机提示照样弹。2.2 Windows 上的三层虚拟化堆栈别只盯着最上面那层把 Windows 上的虚拟化拆开看是三层的结构排查时按层往下走最省力。第一层是固件层也就是主板 BIOS/UEFI 里的 Intel VT-x 或 AMD-VSVM开关。这是硬件虚拟化的总闸关掉之后上面两层都起不来但代价是 WSL2、Docker Desktop、安卓模拟器、部分沙箱工具会一起失效。第二层是 Hypervisor 层包括 Hyper-V 角色本身以及基于虚拟化的安全VBS。VBS 下面挂着两个常客内存完整性HVCI代码完整性保护和凭据保护Credential Guard。这一层是 Windows 自己拉起来的用户往往毫无感知。任务管理器里看不到“虚拟机”但 CPUID 的那一位确实是 1。第三层是用户态的第三方虚拟机软件也就是常见的桌面虚拟化产品。这一层的特征是留有明确的服务和驱动虚拟网卡、USB 控制器驱动、后台服务等。三层里第二层是绝大多数人翻车的地方。因为它的开关藏在“Windows 安全中心 → 设备安全性 → 内核隔离”这种不显眼的位置默认状态还常常是开启的。2.3 先用三条命令把现状摸清再决定动哪一层动手改之前建议先花两分钟把当前状态采集下来。改完之后有对照才知道是哪一项起了作用。# 采集系统对 Hypervisor 的自报状态 # HypervisorPresent True 时带反虚拟化检测的程序大概率会拦你 Get-CimInstance -ClassName Win32_ComputerSystem | Select-Object Manufacturer, Model, HypervisorPresent # 查看 VBS基于虚拟化的安全与内存完整性HVCI的运行状态 # SecurityServicesRunning 是数组1凭据保护2内存完整性3System Guard # VirtualizationBasedSecurityStatus0未启用1已启用但未运行2已启用且运行中 Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard | Select-Object VirtualizationBasedSecurityStatus, SecurityServicesRunning, SecurityServicesConfigured # 看 Hyper-V 的加载方式是否被写进了启动配置 bcdedit /enum {current} | Select-String -Pattern hypervisorlaunchtype第一段命令的输出重点是HypervisorPresent它直接对应 CPUID 那一位的系统侧视图。如果这里是 True 而你又确实没装虚拟机问题百分之百出在第二层的 VBS 或 Hyper-V 上。第二段命令里SecurityServicesRunning中如果出现 2说明内存完整性正在运行VirtualizationBasedSecurityStatus为 2 则说明 VBS 整体在跑。这两项是重点嫌疑对象。第三段命令看hypervisorlaunchtype的值Auto表示开机加载 hypervisorOff表示不加载。这条值是后面第 3 章要用到的关键开关。提示命令要在管理员权限的 PowerShell 里跑普通权限下Win32_DeviceGuard这个类可能返回空值会让你误以为功能没开。3. 按代价从低到高动手五个层级的处置顺序网上传的办法一大堆顺序五花八门。我的习惯是按“可逆性”排序先做完全无损的再做只影响安全功能的再做影响开发环境的最后才碰固件。这样一旦某一层解决了问题就不用继续往下走回滚成本最低。3.1 先摘掉第三方虚拟化组件但别急着删程序方法一是最直接的一类把本机的第三方虚拟机软件停掉或卸载。判断标准不是“程序列表里有没有”而是“后台服务和驱动还在不在”。虚拟机的内核驱动常在系统启动早期加载即使主程序没运行驱动也可能已经把虚拟化痕迹写进了系统信息。所以光退出托盘图标没用得去服务里看。# 列出名称或描述里带虚拟化关键词的服务重点看 State 是否为 Running Get-Service | Where-Object { $_.Name -match vmx86|vmci|vmware|vbox|virtualbox|hyper-v|vmms|vmcompute } | Select-Object Name, DisplayName, Status, StartType # 列出还在位的虚拟网卡这类网卡的 MAC 前缀本身就是检测特征 Get-NetAdapter | Where-Object { $_.InterfaceDescription -match VMware|VirtualBox|Hyper-V|Virtual } | Select-Object Name, InterfaceDescription, MacAddress, Status第一段命令的Name字段是服务内部名StartType是关键如果是Automatic且Status为Running说明它在开机就跑。要在不卸载主程序的前提下先排掉嫌疑可以把启动类型改成手动再重启观察提示是否消失。第二段命令看虚拟网卡。哪怕虚拟机软件已经卸载网卡有时会残留成“已禁用”状态检测逻辑照样能读到。用设备管理器把带黄色感叹号或不带感叹号的残留虚拟网卡一并移除是最彻底的清理。这一步的代价几乎为零可逆性满分改回Automatic重启就恢复。但要清楚它只对第三方虚拟化有效对 Windows 自带的 VBS 一点用没有。3.2 关掉内存完整性命中率最高的一刀方法二针对的是 VBS 下的内存完整性。路径是 Windows 安全中心 → 设备安全性 → 内核隔离详细信息 → 内存完整性把开关关掉按提示重启。这一步在多数机器上就是终点。因为内存完整性一旦启用Windows 就是 root hypervisorCPUID 的那一位恒为 1程序必然拦截。关掉之后 hypervisor 不再加载标志位归零。但有个高频故障打开 Windows 安全中心页面是空白的压根找不到这个开关。原因是安全中心的宿主服务SecurityHealthService启动类型被改成了禁用常见于某些精简系统镜像或第三方安全软件接管之后。修复方式是用管理员权限的 CMD 把服务启动类型改回手动然后重启:: Start 值含义2自动3手动4禁用 :: 改成 3手动后安全中心由系统按需拉起界面才能正常渲染 REG ADD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecurityHealthService /v Start /t REG_DWORD /d 3 /f :: 顺便确认一下服务当前状态Normal 表示未被禁用 SC QUERY SecurityHealthServiceREG ADD里的/f表示存在同名值时强制覆盖不加会弹交互确认在批处理里容易卡住。改完必须重启服务启动类型在运行期不会重新读取。注意关闭内存完整性会削弱系统对内核级代码篡改的防护。如果你日常在这台机器上处理外来文件、插拔移动介质建议问题定位清楚后把这层重新打开用别的方式绕过检测。3.3 关闭 Hyper-V 相关的三个 Windows 功能方法三走控制面板 → 程序和功能 → 启用或关闭 Windows 功能取消勾选与虚拟化相关的项。图形界面容易漏因为不同 Windows 版本里这些功能的显示名不完全一样有的还藏在子项里。命令行做这件事更可控也方便记录改了什么:: 关闭三个与虚拟化直接相关的可选功能 :: Microsoft-Hyper-V-All Hyper-V 全套组件 :: VirtualMachinePlatform 虚拟机平台WSL2 与部分安卓模拟器依赖它 :: HypervisorPlatform 第三方虚拟化调用的 hypervisor 接口层 dism /online /disable-feature /featurename:Microsoft-Hyper-V-All /norestart dism /online /disable-feature /featurename:VirtualMachinePlatform /norestart dism /online /disable-feature /featurename:HypervisorPlatform /norestart :: 逐项查询状态State : Disabled 才算真正关掉 dism /online /get-featureinfo /featurename:Microsoft-Hyper-V-All | findstr /i State dism /online /get-featureinfo /featurename:VirtualMachinePlatform | findstr /i State/norestart的作用是让三条命令连续执行完再统一重启避免装一条重启一次。三条都执行完手动重启。/featurename:后面跟的是功能内部名不是界面上显示的中文名。写错会返回“功能名称未知”这时用dism /online /get-features | findstr /i hyper查一下实际名称。这一步的副作用要提前想清楚关掉VirtualMachinePlatform之后WSL2 会直接报错无法启动Docker Desktop 的 WSL2 后端也会挂。如果这台机器同时要做开发得先权衡或者改用 Hyper-V 后端之外的其他方案。3.4 用 bcdedit 拿掉 hypervisor 的启动加载方法四是最“外科手术”的一刀直接告诉引导管理器这次别加载 hypervisor。命令很短效果比前面几步都直接。:: off 表示开机不加载 hypervisor重启后生效 bcdedit /set hypervisorlaunchtype off :: 查询当前引导项的完整配置确认改动已写入 bcdedit /enum {current} :: 需要恢复时执行这条 bcdedit /set hypervisorlaunchtype auto{current}是当前引导项的标识符枚举时会看到identifier字段。hypervisorlaunchtype有三个有效值Off、Auto、Explicit。Explicit用于需要手动指定加载参数的场景日常排错用不到。这一条和 3.2、3.3 的关系要理清hypervisorlaunchtype off是“不让 hypervisor 起来”而 VBS 的某些配置项会在引导时强行把它拉回来。所以存在这样的现象——命令执行成功bcdedit /enum里也确实是Off重启后提示照旧。遇到这种情况先跑第 2 章那段Win32_DeviceGuard查询看VirtualizationBasedSecurityStatus是不是还是 2。如果是说明 VBS 在另一条路径上生效需要回到 3.2 把内存完整性关掉两条路一起断才行。提示bcdedit 必须在管理员权限下执行普通权限会提示“拒绝访问”但这个错误信息不显眼容易被忽略成命令写错。3.5 最后一招进 BIOS/UEFI 关掉硬件虚拟化方法五动的是固件层关掉 Intel VT-x 或 AMD-V部分主板标为 SVM Mode、Virtualization Technology、VT-d。这是总闸关掉之后上面所有层次都起不来问题必然解决。代价也最大所有依赖硬件虚拟化的软件全部失效。而且这一步在不同主板上位置差异极大通常在 Advanced → CPU Configuration或者 Security → Virtualization 下面部分品牌机还藏在超频菜单里。进 BIOS 前有两个细节值得留意。一是部分主板开了快速启动后开机按键窗口只有一两秒进不去设置界面需要先在系统里执行一次完整关机shutdown /s /t 0不是重启再开机。二是改完保存退出时有的主板会问是否加载默认设置选“否”否则前面调过的启动顺序会一起被重置。这一步建议放在最后且只在前四步全部无效时使用。用过之后一定记下改了什么否则半年后要用 WSL2会完全想不起来为什么装不上。3.6 改完怎么验证别靠“打开看看”每改一层重启后都用同一组命令复验别凭感觉。同一份输出改前改后对比哪一项翻转了一目了然。# 一次性打印三个关键指标 $cs Get-CimInstance Win32_ComputerSystem $dg Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard HypervisorPresent : $($cs.HypervisorPresent) VBS Status : $($dg.VirtualizationBasedSecurityStatus) SecurityServicesRunning: $($dg.SecurityServicesRunning -join ,) FirmwareVirtualization : $((Get-CimInstance Win32_Processor).VirtualizationFirmwareEnabled)判断标准很明确HypervisorPresent为False、VBS Status为 0、SecurityServicesRunning为空三项同时满足基本可以确认程序不会再弹出那句提示。FirmwareVirtualization为False说明固件层的开关已经关掉这一项是你在 BIOS 里改动的直接证据。如果三项都满足了提示还在那就要怀疑检测逻辑走的是网卡 MAC、磁盘型号或者注册表里其他特征这时候再回到 3.1 去清理残留。4. 五个踩坑记录现象、原因与处置这一章是从反复重装里攒出来的。按现象、原因、解决三段来写方便对上号。4.1 内存完整性关掉后自己又打开了现象按 3.2 关掉开关重启进系统再看开关又回到打开状态提示照旧。原因通常有三种。一是这台机器加入了组织级的设备管理策略通过组策略或移动设备管理通道下发本地改动会被覆盖回去。二是第三方安全软件接管了内核隔离的配置它的界面里有独立开关。三是 Windows 更新在某些补丁里重新下发了默认配置。解决先用gpresult /h report.html导出策略结果搜DeviceGuard或HVCI关键字确认是否有策略项。有的话需要联系设备管理员调整策略本地硬改无效。没有策略的话检查第三方安全软件的内核防护开关把它先关掉再改系统设置否则两边会互相拉扯。改完之后隔一两天再复查一次确认没有被回滚。4.2 安全中心页面白屏或直接闪退现象点开 Windows 安全中心主界面一片空白设备安全性入口点不进去或者点了直接退出。原因SecurityHealthService服务被禁用宿主进程起不来界面就没有渲染依赖。也有一部分是系统组件注册损坏。解决先按 3.2 的REG ADD把启动类型改回 3 并重启。如果重启后还是白屏用管理员 PowerShell 重新注册安全中心的应用包# 重新注册 Windows 安全中心应用包修复组件注册信息 Get-AppxPackage -Name Microsoft.Windows.SecHealthUI | ForEach-Object { Add-AppxPackage -DisableDevelopmentMode -Register $($_.InstallLocation)\AppXManifest.xml }-DisableDevelopmentMode表示以非开发模式注册-Register后面跟的是应用包清单路径。执行完不用重启重新打开安全中心即可。如果这条命令报找不到包说明系统组件被精简过只能走系统修复安装。4.3 bcdedit 执行成功重启后提示依旧现象bcdedit /set hypervisorlaunchtype off返回“操作成功完成”bcdedit /enum里也显示Off重启后提示原样出现。原因VBS 通过另一条路径把 hypervisor 拉起来了。典型情形是内存完整性仍处于启用状态或者启用了安全启动加核心隔离的组合配置。这种情况下引导项的值被后续阶段覆盖。解决先跑第 2 章那段 DeviceGuard 查询看 VBS 状态。如果仍是 2回到 3.2 关内存完整性两步都做完再重启。另外确认一下系统是不是开了“虚拟机平台”这个可选功能——它单独存在时也会拉起轻量级 hypervisor对应 3.3 里的VirtualMachinePlatform。4.4 关了虚拟化开发环境全线阵亡现象提示消失了CASS11 能开了。但同一台机器上的容器工具启动报错安卓模拟器提示“VT-x 未开启”某些本地虚拟机无法启动。原因硬件虚拟化是这些工具的必要条件关掉之后它们没有可用的执行环境。这是 3.4、3.5 两步的必然代价不是配置错误。解决分两条路。如果只是偶尔用 CASS11可以在引导菜单里加一个独立启动项专门用于运行测绘软件另一个启动项保持虚拟化开启用bcdedit /copy复制当前引导项再分别配置开机时选。如果必须同机同时用那就别关固件层的 VT-x只关 Windows 侧的 VBS通常已经足够让检测通过——这一点在多数机器上验证过代价小得多。4.5 改动之后授权信息需要重新绑定现象软件能正常启动了但提示授权无效、需要重新绑定设备。原因部分测绘软件的授权与本机硬件指纹绑定指纹通常由主板、硬盘序列号、网卡 MAC 等信息组合而成。改动系统虚拟化配置本身一般不影响指纹但如果在排查过程中换了网卡、禁用了某块网卡、重装过系统组件指纹就会变。解决动手之前先记录一份硬件指纹基线包括主板序列号、系统盘序列号、物理网卡 MAC。改完如果授权失效对比基线找出变了哪一项优先恢复那一项而不是重新走授权流程。# 采集硬件指纹基线改动系统前先跑一遍并另存 [ordered]{ BaseBoard (Get-CimInstance Win32_BaseBoard).SerialNumber Disk (Get-CimInstance Win32_DiskDrive | Select-Object -First 1).SerialNumber PhysicalMac (Get-NetAdapter -Physical | Where-Object Status -eq Up).MacAddress -join ; } | ConvertTo-Json | Out-File $env:USERPROFILE\Desktop\hw-baseline.json -Encoding utf8-Physical只列物理网卡排除虚拟网卡干扰Status -eq Up过滤掉未连接的。输出成 JSON 存在桌面比截图靠谱。这个习惯看起来多此一举但真出问题时能省掉一趟返工。5. 改完别留烂摊子回滚脚本与并存环境处理排查过程中动过的东西如果不记录下来三个月后就是一笔糊涂账。这一章讲的是怎么把改动管住。5.1 动手前先落三份快照第一份是引导配置。bcdedit /enum all bcd-before.txt把全部引导项导成文本里面有hypervisorlaunchtype的原始值。别只截当前项多系统机器上其他引导项的配置也在里面。第二份是功能状态。dism /online /get-features /format:table features-before.txt几百行文本重装系统之前不用怕丢。恢复时拿这份文件逐行对比比凭记忆靠谱。第三份是 BIOS 设置。进设置界面前先用手机把每个页面拍一遍尤其是 Advanced 和 Security 两个大项。BIOS 的设置项名称五花八门靠回忆找“原来那个开关叫什么”非常痛苦。提示三份快照统一放到一个带日期的文件夹里命名里带上机器标识。手上有几台机器要处理时这个习惯能救命。5.2 逐项回滚的顺序与命令回滚顺序和改动顺序相反从最底层往回退。先恢复固件设置再恢复引导配置最后恢复系统功能。:: 1. 恢复 hypervisor 的自动加载 bcdedit /set hypervisorlaunchtype auto :: 2. 恢复三个可选功能 dism /online /enable-feature /featurename:HypervisorPlatform /norestart dism /online /enable-feature /featurename:VirtualMachinePlatform /norestart dism /online /enable-feature /featurename:Microsoft-Hyper-V-All /norestart :: 3. 确认安全中心服务启动类型未被残留修改正常应为 3 手动 REG QUERY HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecurityHealthService /v Start :: 4. 全部执行完后重启 shutdown /r /t 0顺序上有个细节hypervisorlaunchtype必须先恢复成auto否则即使功能装回来了hypervisor 依然不会加载WSL2 还是会报错。这一步很多人漏掉误以为是功能安装失败。/norestart同样是为了三条命令连跑。第三条里的REG QUERY只读不写用来核对值显示为0x3就是正常的。5.3 多版本 CAD 并存时的注意事项同一台机器上装两三个版本的 CAD 是常有的事。CASS 作为插件挂在 CAD 上运行注册表里会写一串与宿主版本相关的键值。需要留意的是修复虚拟化问题时不涉及 CAD 本身但如果为了排查重装过 CAD注册表里的路径和组件注册会全部重来这时 CASS 可能识别不到宿主。表现是启动时报“未找到 CAD 环境”而不是那句虚拟机提示。处理办法是修复安装 CASS选“修复”而不是“卸载重装”后者会清掉配置。修复后再打开如果还是找不到宿主检查 CAD 的安装路径里有没有中文或空格——这类插件对路径的兼容性一向不宽容。另一个容易忽略的点是权限。CASS 启动时需要写入自己的配置目录如果安装在C:\Program Files下而当前账户不是管理员会静默失败或者随机报错。我的做法是给主程序建一个快捷方式属性里勾选“以管理员身份运行”一劳永逸。这不算优雅但有效。5.4 组策略与域环境下的例外情况如果机器加入了某个统一管理的环境前面所有本地改动都可能被策略覆盖。判断方法很简单改完之后过一天再看如果自动恢复了基本就是策略在起作用。这时本地硬碰没有意义正确的路径是查看生效的策略项。gpresult /r能看到应用到本机的策略对象列表/h导出报告后搜DeviceGuard、HVCI、Virtualization几个关键词能定位到具体是哪条策略下发的。注意在受管环境里改系统安全配置可能违反使用规范。这种情况下更稳妥的做法是与管理员沟通为特定软件申请例外而不是自己绕过。6. 一套可复用的采集脚本把“改前改后”变成一张对照表真正的省事不是记住哪条命令而是有一套固定动作每次遇到同类问题直接跑把结果存下来对比。下面这段脚本我放在一个固定的目录里遇到“软件怀疑我在虚拟机里跑”这类问题就双击跑一次输出存成带时间戳的文本。# 采集虚拟化相关全量状态输出到桌面并带时间戳 $out $env:USERPROFILE\Desktop\vstate-$(Get-Date -Format yyyyMMdd-HHmm).txt $dg Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard $cs Get-CimInstance Win32_ComputerSystem $cpu Get-CimInstance Win32_Processor $vNic Get-NetAdapter | Where-Object { $_.InterfaceDescription -match VMware|VirtualBox|Hyper-V|Virtual } $rows [ordered]{ 采集时间 Get-Date -Format yyyy-MM-dd HH:mm:ss 主板厂商 (Get-CimInstance Win32_BaseBoard).Manufacturer 系统型号 $cs.Model 存在Hypervisor $cs.HypervisorPresent VBS状态 $dg.VirtualizationBasedSecurityStatus 安全服务运行 ($dg.SecurityServicesRunning -join ,) 固件虚拟化 $cpu.VirtualizationFirmwareEnabled 虚拟网卡数 ($vNic).Count 虚拟网卡列表 (($vNic).Name -join ;) } $rows.GetEnumerator() | ForEach-Object { {0,-16}: {1} -f $_.Key, $_.Value } | Tee-Object -FilePath $out Write-Host n已保存到: $out -ForegroundColor CyanTee-Object的作用是同时输出到屏幕和文件排查时不用来回找文件。[ordered]保证输出顺序固定两次采集的文件可以直接用文本对比工具 diff。判断逻辑整理成一张表采集完对号入座字段正常值物理机且未拦截被判定为虚拟机的典型值对应处置存在HypervisorFalseTrue关内存完整性或 bcdedit offVBS状态02关闭内核隔离下的内存完整性安全服务运行空2同上2 即 HVCI固件虚拟化False 或 True 均可True 且前三项异常最后才考虑 BIOS 关闭虚拟网卡数0 或仅物理网卡0 且含虚拟网卡清理残留虚拟网卡表里最容易被误读的是“固件虚拟化”这一行。它为 True 并不必然导致拦截真正的判定触发点在前三行。我见过有人一上来就进 BIOS 关 VT-x结果 WSL2 挂了、模拟器不能用了回来一看内存完整性还开着——白折腾一趟。从那以后我每次处理这类问题都是先跑一遍采集脚本存基线改一层跑一次四次以内必定定位到具体是哪一项在起作用也再没出现过“改完能用了但不知道改对了什么”的情况。希望帮到你。本文还有配套的精品资源点击获取