什么是 Sandbox

Sandbox即安全沙盒，它的主要作用是对软件运行环境做隔离限制，通过严格控制执行的程序所访问的资源来达到限制恶意行为的目的。安全沙盒有用于多用户多进程隔离以确保安全运行的，也有用于恶意软件行为识别的。对于主机层的沙盒，Sandboxie是微软系统上的老牌安全沙盒，可以隔离运行不可信的软件，防止系统感染病毒。微软便使系统自带了该沙盒，后来在内核层又实现了Hyper-V的虚拟化沙盒。

检测程序是否在沙箱运行的办法有以下这些：

• 检测运行时间：在各类检测沙箱中，检测运行的时间往往是比较短的，因为其没有过多资源可以供程序长时间运行，如果运行时间长则说明不存在沙箱；

• 检测开机时间：许多沙箱检测完毕后会重置系统，我们可以检测开机时间来判断是否为真实的运行状况；

• 检测物理内存：当今大多数pc具有4GB以上的RAM，我们可以检测RAM是否大于4GB来判断是否是真实的运行机器，否则则为沙箱；

• 检测CPU核心数：大多数pc拥有4核心cpu，许多在线检测的虚拟机沙盘是2核心，我们可以通过核心数来判断是否为真实机器或检测用的虚拟沙箱；

• 检测临时文件数：正常使用的系统，其中用户的临时文件夹中有一定数量的临时文件，可以通过判断临时文件夹内的文件数量来检测是否在沙箱中运行。