反沙箱需组合多个低开销、高区分度探测点，如api序言篡改、zwquerysysteminformation延迟异常、seh异常处理链劫持等，单一特征易误报或被绕过；须交叉验证且加随机限频以避免暴露意图。
不能靠单一特征判断是否在沙盒里，得组合多个低开销、高区分度的探测点——比如 API 函数序言是否被篡改、关键系统调用是否延迟异常、异常处理链是否被劫持。单独检查某一项很容易被绕过或误报。
检测 CreateFileA / NtCreateFile 序言是否被挂钩
沙盒普遍通过修改目标函数开头几字节（如插入 jmp 或 call）来实现 API 监控。恶意软件常比对原始字节与内存中实际内容。
- 用
VirtualProtect临时设为可读，再用memcpy读取前 10–15 字节 - Windows 10/11 下未挂钩的
CreateFileA序言通常是8B FF 55 8B EC（mov edi, edi; push ebp; mov ebp, esp），而挂钩后常见插入E9 xx xx xx xx（jmp rel32）或FF 25 xx xx xx xx（jmp [rel64]） - 注意：ASLR 会导致模块基址变化，但序言字节本身是固定的；不要硬编码地址，要用
GetModuleHandleA("kernel32.dll") + offset计算 - 若发现序言含跳转指令且目标地址落在非 kernel32 模块内（如
IsBadReadPtr判断），大概率正在被沙盒监控
观察 ZwQuerySystemInformation 返回延迟与结构体填充异常
沙盒常拦截并重写该函数以伪造进程列表、隐藏自身模块，导致返回时间明显偏长，或填充的 SYSTEM_PROCESS_INFORMATION 中某些字段为空/重复/不合理。
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
- 用
QueryPerformanceCounter测量两次调用耗时，正常环境通常 5ms - 检查返回结构体中
NextEntryOffset是否为 0 或过大（如 >1MB），这常是伪造数据的痕迹 - 遍历进程链表时，若发现
ImageName为空、UniqueProcessId为 0 或重复出现同一 PID，说明数据被篡改 - 别只调一次——连续调 3 次，看延迟方差是否远高于标准差阈值（如 >2ms），沙盒注入逻辑往往不稳定
触发 SEH 异常并检查展开行为是否被劫持
部分沙盒会 Hook RtlDispatchException 或替换 __C_specific_handler，导致异常栈展开路径异常，或 SetUnhandledExceptionFilter 设置失败。
- 用
__try { *(int*)0 = 0; } __except(EXCEPTION_EXECUTE_HANDLER) { ... }触发访问违例 - 在
__except块中调用GetExceptionCode()，若返回EXCEPTION_ACCESS_VIOLATION以外的值（如0xE06D7363），说明异常被中间层重写了 - 调用
SetUnhandledExceptionFilter后立即触发异常，检查回调是否真的被执行（可在回调里写文件或弹 MessageBox）；若没执行，说明过滤器被沙盒覆盖 - 注意：启用 ASan/UBSan 时此法失效，因它们本身就会接管异常分发；探测前应确保未加载 sanitizer 运行时
为什么不要依赖 GetTickCount64 或 Sleep 精确计时
很多沙盒会虚拟化时间相关 API，让 GetTickCount64 返回恒定值、或让 Sleep(1) 实际休眠几十毫秒——但这不是稳定指标，因为真实系统也可能因电源策略或调度延迟出现类似现象。
- 单次
Sleep(1)不可靠，建议组合：先QueryPerformanceCounter记起点，再Sleep(50)，再记终点，计算实际耗时；真实系统通常在 48–52ms，沙盒可能压到 10ms 或拖到 200ms+ -
GetTickCount64在沙盒中常被冻结或线性加速，但仅凭它判断容易误杀云桌面、远程桌面等合法虚拟环境 - 真正有效的做法是交叉验证：时间异常 + API 序言被改 + 异常回调失灵 → 三者同时成立才可信
最易被忽略的是「探测本身会暴露意图」：频繁读取 API 序言、反复触发异常、密集调用 ZwQuerySystemInformation，这些行为本身就是沙盒判定恶意性的强信号。生产环境若需反沙盒，必须加随机间隔、限频、混淆调用顺序，并始终 fallback 到无害逻辑——毕竟，让程序在沙盒里安静退出，好过被立刻标记为可疑样本。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
