仅靠单一检测手段不可靠，必须组合环境变量、系统路径、设备驱动、注册表和服务等多维度特征；如SANDBOXIE变量、\Sandbox\路径、\Device\SbieDrv驱动、SbieSvc服务、WDAGUtilityAccount用户名及mshome.net DNS后缀等需协同验证。
直接结论：仅靠单一检测手段不可靠，必须组合环境变量、系统路径、设备驱动、注册表和服务等多维度特征，否则容易被绕过或误判。
检查 SANDBOXIE 环境变量和进程路径
这是最轻量、最常被恶意软件/检测工具使用的入口点，但也是最容易被沙箱模拟器主动伪造或忽略的点。
-
SANDBOXIE环境变量存在（值通常为1或空字符串）是 Sandboxie 的强信号，调用GetEnvironmentVariableW(L"SANDBOXIE", ...)即可验证 - 进程模块路径含
L"\Sandbox\"子串（如C:SandboxMyApp.exe）也属典型 Sandboxie 行为，但需注意路径大小写不敏感比较 - Windows Sandbox（WSB）默认不设该变量，也不改进程路径，所以此项对 WSB 无效
扫描设备驱动与系统服务
底层驱动和服务名属于较难伪造的硬特征，适合区分 Sandboxie 和 Windows Sandbox。
- 检查
\Device\SbieDrv是否存在 —— 调用GetFileAttributesW(L"\Device\SbieDrv")，返回非INVALID_FILE_ATTRIBUTES即命中 Sandboxie - 检查服务
SbieSvc是否可打开（需SC_MANAGER_CONNECT权限），OpenServiceW(hScm, L"SbieSvc", SERVICE_QUERY_STATUS)成功即确认 Sandboxie 运行中 - Windows Sandbox 中常见的是
CExecSvc.exe进程和\GLOBALROOT\device\vmsmb设备，可用CreateFileW(L"\\.\GLOBALROOT\device\vmsmb", ...)尝试访问
验证用户名与 DNS 后缀（专用于 Windows Sandbox）
这些是 Windows Sandbox 镜像固化的行为特征，比注册表更稳定，且无需管理员权限。
立即学习“C++免费学习笔记（深入）”；
- 当前用户名为
WDAGUtilityAccount是 WSB 最可靠标识之一，用GetUserNameW()获取后比对即可 - DNS 后缀为
mshome.net也很典型，需调用GetAdapterAddresses()遍历所有适配器的FirstUnicastAddress，提取StringLpcwstr中的后缀字段 - 注意：某些企业定制 WSB 镜像可能修改用户名，但极少动 DNS 后缀；反之，DNS 后缀可能被本地组策略覆盖，建议两项同时校验
警惕 SetErrorMode 类“副作用检测”陷阱
这类技巧看似简单，实则脆弱且易引发副作用，生产环境应避免使用。
-
SetErrorMode(0x400)后再读回原值，若返回0x400常被解释为“沙箱拦截了错误处理”，但现代沙箱普遍透传该 API，导致漏判 - 该调用会全局影响当前进程的错误弹窗行为（如禁用“程序停止工作”对话框），可能干扰调试或用户交互逻辑
- 同理，依赖
host.exe文件存在性（如 app.any.run 沙箱）已失效 —— 新版沙箱早已移除该文件或重命名
真正稳定的检测逻辑必须容忍部分特征缺失，比如 Windows Sandbox 可能关掉 CExecSvc.exe，但几乎不可能改掉 WDAGUtilityAccount 用户名和 mshome.net 后缀。别指望一个 if 就下结论，至少保留两个独立正向证据再触发动作。
