跳到主要内容

Windows沙盒使用教程：可疑软件隔离测试

2026年10月20日

Windows沙盒（Windows Sandbox）是微软在 Win10 1809 版本后内置的一次性隔离环境，专业版与企业版开箱即用，专门用来跑那些来路不明的安装包：可疑的激活工具、绿色版软件、不敢直接双击的 exe，统统先丢进沙盒里跑一遍，关掉沙盒后整个系统连同里面的病毒样本一起销毁，宿主机毫发无损。想在口袋网下载软件前先验证安全性的用户，这个自带的工具比装第三方虚拟机省事得多。

生效前的两个硬性条件

沙盒不是点开就能用，它依赖两项能力。第一是系统版本：家庭版没有这个组件，按 Win+R 输入 winver 回车，版本号 1809（操作系统内部版本 17763）以上的专业版、企业版、教育版才具备。第二是硬件虚拟化：任务管理器切到”性能”标签页，右侧看”虚拟化”一栏，显示”已启用”才能继续；如果显示”已禁用”，需要进 BIOS 把 Intel VT-x（或 AMD-V、SVM Mode）打开，保存重启。

两项都过关，还不代表功能已经装上。Windows 沙盒默认是个可选功能，要手动启用，往下看操作部分。

启用组件的两种办法

图形界面的路线：打开控制面板，进入”程序”，点”启用或关闭 Windows 功能”，在列表里找到”Windows 沙盒”勾选，确定后等组件安装完重启一次。列表里若找不到这一项，说明系统版本不支持。

命令行更快一步。右键开始菜单选”终端(管理员)”或”Windows PowerShell(管理员)”，粘贴：

Enable-WindowsOptionalFeature -Online -FeatureName “Containers-DisposableClientSvc” -All

回车后组件安装进度条走完，按提示重启。之后开始菜单输入 sandbox 就能看到”Windows Sandbox”入口，点开大约二十来秒进入一个干净的临时桌面。

把可疑程序放进隔离区实测

沙盒启动后是一个独立的窗口，里面是一套临时的 Windows。文件进沙盒有两条路：宿主机复制、沙盒里粘贴；或者直接把文件拖进沙盒窗口。第一次拖拽会弹一个提示确认，点确认即可。反过来，沙盒里的东西要拿出来同样靠复制粘贴，销毁前记得先把需要的文件（比如测试导出的截图）拷出来。

实测一个可疑安装包的流程：把下载好的 exe 拖入沙盒桌面，双击运行，观察几件事——安装过程是否静默捆绑其他程序、桌面是否被塞进来历不明的快捷方式、浏览器主页有没有被改。沙盒默认可以联网，捆绑安装的行为会完整暴露。测试完点右上角关闭，弹出的警告写着”Windows 沙盒关闭后，其中运行的软件和下载的文件以及所有状态都会被删除”，确认关闭，宿主机上什么都不会留下。

使用方法

  • 确认版本：Win+R 输入 winver，内部版本 17763 以上且非家庭版。
  • 确认虚拟化：任务管理器 → 性能 → 虚拟化显示”已启用”，否则进 BIOS 开启 VT-x/AMD-V。
  • 启用功能：管理员 PowerShell 执行 Enable-WindowsOptionalFeature -Online -FeatureName “Containers-DisposableClientSvc” -All，按提示重启。
  • 启动沙盒：开始菜单搜 sandbox，打开 Windows Sandbox，等待临时桌面就绪。
  • 导入文件：把待测安装包从宿主机拖入沙盒窗口或复制粘贴过去。
  • 执行测试：双击安装包运行，观察捆绑安装、快捷方式、主页劫持等迹象。
  • 销毁环境：关闭沙盒窗口并确认警告，全部数据自动清空。

需要留存证据的话，在关闭沙盒前把截图或文件复制回宿主机，否则一并销毁。

用 .wsb 配置文件定制沙盒

每次点图标启动的是默认沙盒，想要定制就得写配置文件。新建一个文本文件，改后缀为 .wsb，内容示例：

<Configuration><Networking>Disable</Networking><MappedFolders><MappedFolder><HostFolder>C:\Downloads</HostFolder><SandboxPath>C:\Downloads</SandboxPath><ReadOnly>true</ReadOnly></MappedFolder></MappedFolders></Configuration>

双击这个 wsb 文件启动，效果是：沙盒断网（彻底断掉外联），宿主机的 C:\Downloads 以只读方式映射进沙盒，测试样本从映射目录里拿，沙盒改不动源文件。标签里还支持 vGPU 开关（启用显卡加速）与剪贴板策略，断网加只读的组合适合跑高风险样本。

和虚拟机的取舍

同样的隔离需求，VMware 或 Hyper-V 虚拟机也能做，差别在成本。虚拟机装一次系统动辄几十 GB 磁盘，启动要一两分钟，好处是可以打快照、长期保存环境。沙盒启动二十秒、用完即焚、零残留，代价是不能保留任何状态，每次都是全新系统。验证一次性安装包选沙盒，需要反复调试环境的长期任务还是留给虚拟机。

条件不满足的家庭版用户，也有替代路线：口袋网上有 Sandboxie Plus 这类第三方沙盘工具，原理是把程序写入重定向到隔离区，实现类似的一次性测试效果。