Windows 沙盒：打开可疑文件的正确姿势

核验于 2026-10-292 分钟阅读

沙盒隔离了什么、还有什么会漏出去，以及什么时候虚拟机才是更好的答案。

测试环境Pro (26H2) · 版本号 26300.9457 · x64

版本号: 26300.9457
版本: Pro (26H2)
架构: x64
支持: 文档（E1）
证据: E1官方文档
核验日期: 2026-10-29
页面类型: 配置

一句话结论

Windows 沙盒是建立在与 Hyper-V 同一套虚拟化栈上的一次性隔离桌面。关掉窗口，里面的一切消失。

它适合“我得打开这个安装包看看它做什么”：

几秒启动（不用装系统）；
默认与宿主什么都不共享；
关闭即丢弃全部状态。

不适合“我要测驱动”或“我需要一台持久测试机”。

前提

要求	说明
版本	专业版、企业版、教育版（不含家庭版）
虚拟化	固件中启用（VT-x/AMD-V 与 SLAT）
功能	可选功能里的 Windows 沙盒
嵌套虚拟化	沙盒内部不能再跑一个 hypervisor

Get-WindowsOptionalFeature -Online -FeatureName Containers-DisposableClientVM |
  Select-Object FeatureName,State

会漏出去什么

通道	默认	风险
剪贴板	与宿主共享	文本/文件可穿越——未隔离
映射文件夹	除非配置否则关闭	映射文件夹从沙盒内可写
网络	启用	恶意软件能访问互联网/局域网
音频/打印	受限	通常关闭
宿主文件系统	不挂载	这正是沙盒的意义

第一行与第三行正是“放进沙盒打开”不构成保证的原因：剪贴板共享、网络启用的沙盒仍能带走你粘贴的内容，也仍能攻击你的路由器。

.wsb 配置文件可以控制：

<Configuration>
  <Networking>Disable</Networking>
  <ClipboardRedirection>Disable</ClipboardRedirection>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\me\Downloads\suspect</HostFolder>
      <SandboxFolder>C:\work</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
</Configuration>

存成 test.wsb，双击即按这些设置启动。

沙盒与虚拟机

	Windows 沙盒	完整虚拟机
启动时间	秒	分钟
持久化	无	完整
快照/回滚	无（设计上就是一次性）	有
自定义系统	无（与宿主同版本）	任意
GPU	基础	可直通
适合	一次性检查	可重复测试

要做两次以上的事，带快照的虚拟机更好。检查一个可疑安装包，沙盒比一台脏测试机更快也更安全。

安全流程

把文件放进独立文件夹。
用关闭网络与剪贴板、文件夹只读的 .wsb 启动。
打开文件、观察，不要输入任何凭据。
关闭沙盒窗口——状态被丢弃。
需要取回“结果”，通过你刻意创建的可写映射取出。

实验室边界

E1。沙盒要求与隔离行为有微软文档依据。实验室虚拟机本身已在虚拟化中且不支持嵌套运行该功能，因此未在此运行。