# Windows 沙盒：打开可疑文件的正确姿势

> 沙盒隔离了什么、还有什么会漏出去，以及什么时候虚拟机才是更好的答案。

**测试环境**

- 版本号: 26300.9457
- 版本: Pro (26H2)
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-29

## 一句话结论

Windows 沙盒是建立在与 Hyper-V 同一套虚拟化栈上的**一次性隔离桌面**。关掉窗口，里面的一切消失。

它适合"我得打开这个安装包看看它做什么"：

- 几秒启动（不用装系统）；
- 默认与宿主什么都不共享；
- 关闭即丢弃全部状态。

不适合"我要测驱动"或"我需要一台持久测试机"。

## 前提

| 要求 | 说明 |
|---|---|
| 版本 | **专业版、企业版、教育版**（不含家庭版） |
| 虚拟化 | 固件中启用（VT-x/AMD-V 与 SLAT） |
| 功能 | 可选功能里的 *Windows 沙盒* |
| 嵌套虚拟化 | 沙盒内部不能再跑一个 hypervisor |

```powershell
Get-WindowsOptionalFeature -Online -FeatureName Containers-DisposableClientVM |
  Select-Object FeatureName,State
```

## 会漏出去什么

| 通道 | 默认 | 风险 |
|---|---|---|
| **剪贴板** | 与宿主共享 | 文本/文件可穿越——**未隔离** |
| **映射文件夹** | 除非配置否则关闭 | 映射文件夹从沙盒内可写 |
| **网络** | 启用 | 恶意软件能访问互联网/局域网 |
| **音频/打印** | 受限 | 通常关闭 |
| **宿主文件系统** | 不挂载 | 这正是沙盒的意义 |

第一行与第三行正是"放进沙盒打开"不构成保证的原因：剪贴板共享、网络启用的沙盒仍能带走你粘贴的内容，也仍能攻击你的路由器。

`.wsb` 配置文件可以控制：

```xml
<Configuration>
  <Networking>Disable</Networking>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\me\Downloads\suspect</HostFolder>
      <SandboxFolder>C:\work</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>
```

存成 `test.wsb`，双击即按这些设置启动。

> **危险: 映射文件夹是双向门，除非你设成只读**
>
> 沙盒内的恶意软件能写入映射文件夹，也就写到了你的宿主。除非你就是要取回产出，否则永远设 `ReadOnly`。

## 沙盒与虚拟机

| | Windows 沙盒 | 完整虚拟机 |
|---|---|---|
| 启动时间 | 秒 | 分钟 |
| 持久化 | 无 | 完整 |
| 快照/回滚 | 无（设计上就是一次性） | 有 |
| 自定义系统 | 无（与宿主同版本） | 任意 |
| GPU | 基础 | 可直通 |
| 适合 | 一次性检查 | 可重复测试 |

要做两次以上的事，带快照的虚拟机更好。检查一个可疑安装包，沙盒比一台脏测试机更快也更安全。

## 安全流程

1. 把文件放进独立文件夹。
2. 用**关闭网络与剪贴板**、文件夹**只读**的 `.wsb` 启动。
3. 打开文件、观察，不要输入任何凭据。
4. 关闭沙盒窗口——状态被丢弃。
5. 需要取回"结果"，通过你刻意创建的可写映射取出。

## 相关

- [核心隔离与 HVCI](https://winbook.fyi/zh/windows/hardening/core-isolation/)
- [SmartScreen](https://winbook.fyi/zh/windows/hardening/smartscreen/)
- [WSL2 与 Hyper-V 共存](https://winbook.fyi/zh/windows/dev/hyperv-coexistence/)

## 实验室边界

E1。沙盒要求与隔离行为有微软文档依据。实验室虚拟机本身已在虚拟化中且不支持嵌套运行该功能，因此未在此运行。

## 来源

- [Microsoft Learn — Windows 沙盒](https://learn.microsoft.com/zh-cn/windows/security/application-security/application-isolation/windows-sandbox/)
- [Microsoft Learn — 基于虚拟化的安全](https://learn.microsoft.com/zh-cn/windows-hardware/drivers/bringup/)
- [Microsoft Learn — 驱动安装](https://learn.microsoft.com/zh-cn/windows-hardware/drivers/install/)

---

来源页面: https://winbook.fyi/zh/windows/customise/sandbox/