仅靠单一检测手段不可靠，必须组合环境变量、系统路径、设备驱动、注册表和服务等多维度特征；如sandboxie变量、\sandbox\路径、\device\sbiedrv驱动、sbiesvc服务、wdagutilityaccount用户名及mshome.net dns后缀等需协同验证。

直接结论：仅靠单一检测手段不可靠，必须组合环境变量、系统路径、设备驱动、注册表和服务等多维度特征，否则容易被绕过或误判。

检查 SANDBOXIE 环境变量和进程路径

这是最轻量、最常被恶意软件/检测工具使用的入口点，但也是最容易被沙箱模拟器主动伪造或忽略的点。

• SANDBOXIE 环境变量存在（值通常为 1 或空字符串）是 Sandboxie 的强信号，调用 GetEnvironmentVariableW(L"SANDBOXIE", ...) 即可验证
• 进程模块路径含 L"\Sandbox\" 子串（如 C:SandboxMyApp.exe）也属典型 Sandboxie 行为，但需注意路径大小写不敏感比较
• Windows Sandbox（WSB）默认不设该变量，也不改进程路径，所以此项对 WSB 无效

扫描设备驱动与系统服务

底层驱动和服务名属于较难伪造的硬特征，适合区分 Sandboxie 和 Windows Sandbox。

C++14

C++14 对 C++11 的修正与增强版本，适合旧系统维护和较老工具链兼容。

下载

• 检查 \Device\SbieDrv 是否存在 —— 调用 GetFileAttributesW(L"\Device\SbieDrv")，返回非 INVALID_FILE_ATTRIBUTES 即命中 Sandboxie
• 检查服务 SbieSvc 是否可打开（需 SC_MANAGER_CONNECT 权限），OpenServiceW(hScm, L"SbieSvc", SERVICE_QUERY_STATUS) 成功即确认 Sandboxie 运行中
• Windows Sandbox 中常见的是 CExecSvc.exe 进程和 \GLOBALROOT\device\vmsmb 设备，可用 CreateFileW(L"\\.\GLOBALROOT\device\vmsmb", ...) 尝试访问

验证用户名与 DNS 后缀（专用于 Windows Sandbox）

这些是 Windows Sandbox 镜像固化的行为特征，比注册表更稳定，且无需管理员权限。

• 当前用户名为 WDAGUtilityAccount 是 WSB 最可靠标识之一，用 GetUserNameW() 获取后比对即可
• DNS 后缀为 mshome.net 也很典型，需调用 GetAdapterAddresses() 遍历所有适配器的 FirstUnicastAddress，提取 StringLpcwstr 中的后缀字段
• 注意：某些企业定制 WSB 镜像可能修改用户名，但极少动 DNS 后缀；反之，DNS 后缀可能被本地组策略覆盖，建议两项同时校验

警惕 SetErrorMode 类“副作用检测”陷阱

这类技巧看似简单，实则脆弱且易引发副作用，生产环境应避免使用。

• SetErrorMode(0x400) 后再读回原值，若返回 0x400 常被解释为“沙箱拦截了错误处理”，但现代沙箱普遍透传该 API，导致漏判
• 该调用会全局影响当前进程的错误弹窗行为（如禁用“程序停止工作”对话框），可能干扰调试或用户交互逻辑
• 同理，依赖 host.exe 文件存在性（如 app.any.run 沙箱）已失效 —— 新版沙箱早已移除该文件或重命名

真正稳定的检测逻辑必须容忍部分特征缺失，比如 Windows Sandbox 可能关掉 CExecSvc.exe，但几乎不可能改掉 WDAGUtilityAccount 用户名和 mshome.net 后缀。别指望一个 if 就下结论，至少保留两个独立正向证据再触发动作。

C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！