可以，但不能把 Windows Sandbox 当成绝对安全罩。它提供一次性、轻量的隔离 Windows 桌面，适合观察未知安装包、脚本或网站。对普通用户，最重要的三个措施是：关闭网络、关闭剪贴板、只读映射一个专用临时目录。测试完成后关闭沙盒并删除内容，但仍应保留 Defender、SmartScreen、备份和谨慎操作。
Windows Sandbox 能做什么，不能保证什么
Windows Sandbox 利用硬件虚拟化和 Microsoft hypervisor 运行独立内核。关闭窗口并确认删除后，沙盒中的程序、文件和系统修改通常会被丢弃，下一次启动得到新的环境；当前不能同时运行多个实例。它不是杀毒扫描器，也不是浏览器标签页式的简单隔离。
As an Amazon Associate I earn from qualifying purchases.
它能减少可疑程序直接修改主系统的机会，但不能保证绝对隔离。恶意程序可能识别沙盒后改变行为、等待联网或特定时间、依赖真实用户资料，甚至利用尚未修复的虚拟化逃逸漏洞。因此“在沙盒里没有异常”不等于“文件安全”。
官方说明见 Microsoft Windows Sandbox 文档。
#1 Best Overall
先判断：这个样本适合用沙盒吗
| 场景 | 建议 |
|---|---|
| 未知安装包、脚本、办公文件，或只想查看界面 | 可使用关闭网络的 Windows Sandbox |
| 需要保存快照、反复回滚、多个 Windows 版本或多台虚拟机互联 | 使用完整虚拟机，并单独配置网络、共享文件夹和 USB |
| 勒索软件、明显木马、网络蠕虫、主动扫描器或真实攻击样本 | 不要在日常电脑的沙盒中运行，交给企业安全团队或专业分析环境 |
| 含公司机密、私钥、客户数据的文件 | 不要上传公共分析服务；遵守组织政策并采用受控环境 |
如果只是判断文件是否恶意，先保留来源和文件名，使用 Windows Security 扫描，查看发布者和数字签名，不要绕过 SmartScreen 或 Defender 警告。SmartScreen 的功能说明见 Windows Security 的应用和浏览器控制。
版本与硬件要求
- 支持 Windows Pro、Enterprise、Pro Education/Pro Education SE 和 Education；Windows Home 当前不支持官方 Windows Sandbox。
- Windows 10 至少需要版本 1903；Windows 11 也必须是受支持的版本，并非所有版本都自动具备该功能。
- 需要 AMD64 或受支持的 Arm64 架构、BIOS/UEFI 硬件虚拟化、至少 4 GB 内存（建议 8 GB）、至少 1 GB 可用磁盘空间（SSD 更合适）和至少 2 个 CPU 核心（建议 4 核并支持超线程）。
- 如果 Windows 本身运行在 Hyper-V 虚拟机中，必须启用嵌套虚拟化。
物理电脑的虚拟化选项可能叫 Intel VT-x、Intel Virtualization Technology、AMD-V 或类似名称，菜单因厂商而异。若在 Hyper-V 主机上承载 Windows 虚拟机，请在主机执行：
Set-VMProcessor -VMName "<VMName>" -ExposeVirtualizationExtensions $true
Update-VMVersion -VMName "<VMName>"安装要求详见 Microsoft 安装文档。不要用来历不明的脚本或替换系统组件在 Home 版“破解”沙盒。
The Tool Desk
Outbyte PC Repair FREERepair Windows errors before they cause bigger problemsFix Now →Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Rank #2
启用 Windows Sandbox
图形界面
- 按
Win + R，输入optionalfeatures并按 Enter。 - 勾选Windows Sandbox，点击“确定”，按提示重启。
- 重启后在开始菜单搜索“Windows Sandbox”并启动。
管理员 PowerShell
以管理员身份打开 PowerShell，执行：
Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -All -Online按提示重启；可用下列命令检查状态：
Get-WindowsOptionalFeature -Online -FeatureName Containers-DisposableClientVM创建更安全的 .wsb 配置
用记事本创建 XML 文件，保存为 safe.wsb，而不是 safe.wsb.txt（可在文件名两侧输入英文双引号）。以下配置适合离线观察已有样本：
<Configuration>
<vGPU>Disable</vGPU>
<Networking>Disable</Networking>
<MappedFolders>
<MappedFolder>
<HostFolder>C:SandboxIncoming</HostFolder>
<SandboxFolder>C:UsersWDAGUtilityAccountDesktopIncoming</SandboxFolder>
<ReadOnly>true</ReadOnly>
</MappedFolder>
</MappedFolders>
<ClipboardRedirection>Disable</ClipboardRedirection>
<AudioInput>Disable</AudioInput>
<VideoInput>Disable</VideoInput>
<PrinterRedirection>Disable</PrinterRedirection>
<ProtectedClient>Enable</ProtectedClient>
<MemoryInMB>4096</MemoryInMB>
</Configuration>先在主机创建映射目录，再把样本放进去：
Rank #3
New-Item -ItemType Directory -Path "C:SandboxIncoming" -ForceNetworking Disable阻止样本联网，避免下载第二阶段载荷或接触局域网。ClipboardRedirection Disable切断主机与沙盒复制粘贴通道。ReadOnly true让沙盒读取目录但不能通过该映射回写主机。- vGPU、音频、摄像头和打印机共享均关闭，以减少不必要的设备通道；关闭 vGPU 可能使 3D 或硬件加速程序无法运行。
ProtectedClient Enable启用更高安全设置的 RDP 会话；MemoryInMB指定内存，启动所需最低值不足时系统会提高到至少 2048 MB。
配置语法和所有选项见 .wsb 配置文档。
Free tools Windows power users keep installed
One-click scans. No signup required.
怎样把可疑文件带入沙盒
- 最严格：不映射任何主机目录，使用受控的文件传递方式。
- 实用折中：创建只用于本次测试的目录，例如
C:SandboxIncoming，只读映射它。 - 绝不要映射整个 Downloads、桌面、文档、用户目录、网盘同步目录、代码仓库或含密码数据库、SSH 密钥和浏览器配置的目录。
- 不要使用
<ReadOnly>false</ReadOnly>，除非已接受样本修改或删除主机文件的风险。 - 测试结束后关闭沙盒并删除该临时目录中的样本。
即使只读映射也会让沙盒程序看到主机文件；映射目录本身就是共享通道。Microsoft 对此风险的说明见上述 配置文档。
测试前、测试中、测试后的操作清单
测试前
- 不要在主系统双击或解压样本；记录来源、下载时间、文件名和扩展名。
- 更新 Windows 和 Defender，退出网盘、密码管理器、远程控制工具及企业 VPN，暂停自动同步。
- 用安全配置启动沙盒。Windows Sandbox 不是主机防护的替代品。
测试中只做有限观察
- 程序能否启动、是否要求管理员权限或异常 UAC 操作。
- 是否创建启动项、计划任务、服务，修改系统目录或弹出命令行/PowerShell。
- 是否试图联网、关闭 Defender、跳转浏览器或显示异常广告。
- 安装程序的发布者、数字签名和文件名是否一致。
- 不要输入真实密码、银行卡信息、恢复代码、企业凭据、许可证密钥或验证码。恶意程序可能记录这些内容，即使当前关闭了网络。
测试后
- 关闭程序，再关闭 Windows Sandbox，并在确认对话框中删除沙盒内容。
- 删除主机上的临时样本目录。
- 检查 Windows Security 通知。
- 如果曾开启网络、剪贴板或可写映射，运行一次主机 Defender 全面扫描；防火墙和网络防护说明见 Microsoft 支持页。
- 若主机出现异常，立即断网，不要继续登录邮箱、银行或企业账户；用另一台可信设备修改重要密码，并通知企业 IT/安全团队。
什么时候需要联网
对破解工具、未知安装包、脚本、可疑文档和只需观察界面的样本，固定使用：
Rank #4
- Easy! No Design experience Necessary.
- Fast! Wizard-driven interface means quick results!
- Innovative! Use your own digital pictures to makeover any room.
- Powerful! Photorealistic 3D technology with virtual walkaround.
- Flexible! Perfect for home and interior design, remodeling, landscaping and much more.
<Networking>Disable</Networking>只有在低风险场景（例如测试普通软件的在线安装流程或更新服务器）才临时改为：
<Networking>Enable</Networking>联网并不保证只能访问互联网；路由器、防火墙、VPN、代理和企业策略都会影响可达范围。不要在联网沙盒中运行勒索软件、木马、蠕虫、主动扫描器或具有窃取能力的真实样本。
常见故障排查
“Windows Sandbox”选项不存在
- 确认不是 Windows Home，并检查版本号。
- 确认 BIOS/UEFI 已启用硬件虚拟化。
- 若运行在虚拟机中，确认支持并启用了嵌套虚拟化。
- 安装系统更新、重启，再打开“启用或关闭 Windows 功能”。
启动失败或立即关闭
检查虚拟化、可用内存和磁盘空间、Hyper-V/容器组件、第三方虚拟化软件冲突、企业策略及 XML 格式。映射的 HostFolder 必须已经存在。
.wsb 双击后不按预期工作
确认扩展名不是 .wsb.txt，路径为绝对路径，标签拼写和大小写正确，命令位于正确的 <LogonCommand> 结构。可先用最小文件测试：
<Configuration>
</Configuration>在 Windows 11 24H2 中，沙盒可能缺少 Calculator、Photos、Notepad 和 Terminal 等内置 Store 应用；可改用 cmd.exe、PowerShell 或只读映射的脚本。
何时改用完整虚拟机或专业环境
完整 VM 更适合需要快照和回滚、长期保存工具链、多个 Windows/Linux 版本、精细虚拟网络、重复运行样本，或调试驱动、内核组件的情况。它同样必须严格配置共享剪贴板、文件夹、USB 和网络，并非自动安全。
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
截至 2026 年 8 月检索到的 VMware 官方信息显示，Workstation Pro 和 Fusion Pro 自 2025 年 3 月起对个人、教育和商业用途免费使用；仍需合法的 Windows 客户端许可证，免费也不代表提供企业支持。详情见 官方 FAQ 和 产品页。只想打开一个文件的用户通常不必承担完整 VM 的额外磁盘、内存和配置复杂度。
明显高危样本、企业事件响应和需要精确行为观测的任务，应交给受控的专业恶意软件分析环境；不要把机密、个人证件、源代码、私钥或客户数据上传到公共服务。
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
