【论文分享】被滥用的信任：Windows 代码签名滥用测量研究
一、代码签名沦为恶意软件的“护身符”当你在运行某个软件时，看到如下所示的弹框，“已验证的发布者：XXX有限公司”，你是否会不假思索地点击“是”？然而，大量安全事件表明这样的信任已经被攻击者滥用，看似安全的软件来源可能来自于精心设计的伪装。近年来，软件供应链安全事件频发，为了保护软件真实性与完整性，代码签名机制应运而生。代码签名主要依赖公钥基础设施 PKI 技术，旨在确保软件来自真实来源且软件内容未被篡改。当终端用户安装或以管理员权限运行软件时，操作系统会验证代码签名的有效性，帮助用户判断此软件是否值得信任（如上图所示）。然而，攻击者有时会反过来利用代码签名 PKI 信任体系中的安全缺陷，通过某种手段为恶意软件配置代码签名，帮助恶意软件绕过操作系统和杀毒软件的检查，我们称之为“代码签名滥用”。为了应对代码签名滥用带来的安全威胁，奇安信技术研究院星图实验室与清华大学、中关村实验室联合研究团队在 NDSS 2026 会议上发表了论文《Understanding the Status and Strategies of the Code Signing Abuse Ecosystem》。这项工作由清华大学和奇安信联合培养的卓越工程师计划博士研究生赵汉卿主导完成，导师为段海新教授（清华大学）和应凌云博士（奇安信星图实验室）。其他作者分别为张一铭（清华大学）、张明明（中关村实验室）、刘保君（清华大学）、游子权（清华大学）、张书豪（奇安信星图实验室）。在这项工作中，我们利用从真实世界中收集的 3,216,113 个已签名的恶意 PE 文件，对 Windows 代码签名滥用行为进行了大规模测量。通过细粒度的代码签名滥用检测分类算法，我们检测到了 43,286 张滥用证书，构建了迄今为止最大的滥用标记数据集。分析发现当前代码签名滥用现象普遍存在，影响了 46 家 CA 厂商以及 114 个国家或地区的证书。我们发现了五种滥用者的攻击策略，并根据当前代码签名 PKI 存在的安全缺陷提出了若干缓解措施。二、代码签名研究的三大挑战与传统的 Web PKI 不同，代码签名 PKI 测量研究存在三大挑战：缺少大规模数据集：在 Web PKI 中，研究者可以通过 TLS 扫描主动收集数据或被动分析 TLS 流量。Censys 和 Rapid7 等公共数据集也能为测量工作提供支持。此外，证书透明度（CT）机制提供了 CA 颁发记录，方便研究者批量获取证书数据。然而，代码签名生态系统相对封闭，无法通过主动扫描或 CT 等手段获取大规模数据集，这是制约代码签名测量研究的最大障碍。缺少 Ground Truth：尽管近年来代码签名滥用事件频发，但是学术界尚未找到代码签名滥用检测分类相关的 Ground Truth，以往基于签发行为的分类方法被证实可能会被攻击者绕过。这阻碍了对代码签名证书进行标注和聚类分析。问题根源难以溯源：CA 端的操作和实现并不透明，即便定位到代码签名滥用行为，也难以由此溯源到造成滥用的根源所在，导致无法提出有针对性的缓解措施。我们的工作分别通过综合公共数据集与私有沙箱样本、设计基于撤销信息的滥用检测分类算法、按照不同滥用类型作细粒度分析等方法解决了以上三大挑战。三、代码签名滥用测量的创新方法设计为了解决以上挑战，我们提出了针对代码签名滥用测量的一系列创新方法设计，以实现大规模、细粒度、可溯源的滥用测量分析。数据收集方面，我们综合了公共数据集与私有沙箱样本。我们收集了公共恶意软件存储库 VirusShare 在 2020 年 10 月至 2024 年 10 月期间发布的所有样本，经过过滤保留了 176,968 个签名 PE 样本。此外，我们还从合作公司沙箱中补充收集了 3,828,744 个签名的 PE 文件。两个数据集通过合并去重后共得到 3,962,788 个签名样本，通过反病毒引擎分析最终筛选出了 3,216,113 个恶意签名样本。此外，我们还从多个维度对样本特征进行了扩充，比如爬取 CRL 撤销信息、收集样本恶意行为分析报告等，以实现更精准的检测与分析。为了实现细粒度的分析，我们提出了一种代码签名滥用检测分类算法。受益于近年来 CA 撤销透明度的改善，我们得以通过已撤销证书被披露的撤销原因（Revocation Reason）来推知证书滥用背后的原因。我们依据样本对应的 SignTool 输出结果、CRL 撤销信息以及 OpenCorporates 查询结果设计了新的检测分类方法，将滥用分为签名复制、私钥窃取、身份盗用、空壳公司、自签证书等五种滥用类型。不同的滥用类型采取了不同的滥用手段，其产生的安全威胁与影响范围也有所不同。对于私钥窃取、身份盗用以及空壳公司这三类相对高级的滥用类型而言，由于攻击者掌握受信任证书的私钥，他们可以任意为恶意软件进行签名且不会触发操作系统的安全告警，具有隐蔽性强、影响范围大的特点。此外，我们还设计了一种基于 LLM 的证书关联方法，通过输入证书主题字段以及公钥信息来推断滥用证书是否来自同一攻击者。这一方法不仅帮助我们扩展标记了 287 张未标记滥用证书，还以此聚类得到了 3,484 个证书多态类簇，为后续滥用策略分析提供支撑。四、核心贡献与关键发现构建迄今最大的滥用标记数据集利用代码签名滥用检测分类算法，我们最终收集到了 3,216,113 个来自真实世界的已签名的恶意 PE 文件，从中提取得到了 43,286 张滥用证书，构建了迄今为止最大的代码签名滥用标记数据集。值得注意的是，其中有 23,252 张滥用证书由公共可信 CA 颁发，我们的工作重点关注这些具有高威胁的证书样本。对滥用生态开展全面测量我们利用上述代码签名滥用标记数据集对滥用生态开展了全面而深入的测量分析工作。分析发现当前代码签名滥用现象普遍存在，影响了 46 家 CA 厂商以及 114 个国家或地区的证书。我们发现部分 CA 明显更受攻击者青睐，且与市场份额与证书价格无关，这可能反映出某些 CA 对于证书申请者的身份审核存在漏洞。良性样本与恶意样本代码签名中的 CA 分布对比首次发现“幽灵证书”阻止滥用证书的唯一有效手段是证书撤销，测量发现为恶意软件签名的滥用证书撤销率仅为 17.56%。我们首次发现了制约撤销率提高的关键因素——“幽灵证书”，即已被确定为滥用却无法被撤销的证书。这些证书由于其颁发者证书过期、撤销或停止运营导致撤销设施（CRL/OCSP）失效，即使识别到滥用行为也无法发布撤销信息，而它们的代码签名即使在签名证书过期后由于时间戳（TSA）的存在依然有效。我们发现已确认被滥用但仍未被撤销的证书中至少有 38.96% 符合“幽灵证书”的条件。“幽灵证书”示意图发现五种滥用策略为了找到当前代码签名 PKI 的安全缺陷并提出有针对性的缓解措施，我们深入分析了攻击者的行为和策略。我们通过分析标记数据集总结出了五种滥用策略，旨在逃避检查、降低成本和扩大攻击影响。例如，在证书申请阶段，攻击者可能会利用不同国家之间 CA 身份审查宽松程度的差异有选择性地申请证书（比如假以越南、亚美尼亚等国公司的身份进行申请）。在证书签名阶段，攻击者可能会为恶意软件精心配置“双签名”，通过附加兼容旧密码算法的签名来扩大攻击影响范围。深入挖掘证书多态现象证书多态也是攻击者常用的滥用策略之一。证书多态是指同一实体使用相同（或稍有修改）身份向相同或不同的 CA 申请多张证书的现象。借助证书多态，攻击者可以以相对较低的成本批量获得多个证书（避免注册多个空壳公司带来的巨额开销），同时逃避 CA 撤销的检查（一张证书被撤销不影响其他证书）。我们通过证书关联方法识别了 3,484 个证书多态类簇，发现了 315 个利用多态绕过撤销检查的真实案例。此外，我们还首次发现了利用特殊字符实施证书多态的实例（如下图所示）。利用特殊字符实施证书多态的示意图五、总结代码签名是验证发布者身份并确保软件完整性的重要机制。然而，我们的研究发现代码签名滥用已经成为了软件生态的重大安全威胁之一。我们对现实世界的代码签名滥用生态系统进行了大规模测量研究，开发了一种针对证书滥用类型的细粒度检测分类方法，获得了迄今为止最大的滥用证书标记数据集（43,286 个证书）。利用该数据集，我们对代码签名生态系统与攻击者行为进行了全面而深入的分析，揭示了攻击者一系列的代码签名滥用策略。我们认为造成代码签名滥用持续泛滥的安全缺陷主要来自于 CA 端，包括颁发过程缺乏标准化、消极的滥用治理等。我们建议 CA 增强证书颁发与撤销的透明度（比如建立 CT）、主动监测野外滥用行为、为证书主题字段建立统一标准。同时，我们也希望 Windows 做出相应调整以缓解“幽灵证书”的影响。最后，本文构建的代码签名滥用数据集已开源发布，期待能为后续研究工作提供参考。我们希望安全社区能够给予代码签名领域更多关注，以更好地维护健康的软件生态。感谢您的阅读！论文&项目开源地址：https://github.com/XingTuLab/Code_Signing_Abuse_Dataset学术动态, 技术报告代码签名, 论文分享, 软件供应链安全 2026年1月21日2026年1月21日
【应急响应】挖矿病毒应急响应处置手册
0x00 概述通常来说，当我们的服务器或PC资源(CPU)使用率接近或超过100%，并持续高居不下导致服务器或PC操作延缓，我们就可以判定被挖矿。常见挖矿其它特征如下：服务器或PC访问过不受信任的地址，这些地址包括：主机、IP、域名。这是由于大部分挖矿都需要从一个不受信任的地址下载初始化程序，而不受信任的来源主要是：第三方情报结构，企业内部历史数据沉淀。 服务器或PC新增异常或恶意文件、进程或服务，并且大部分异常文件保存在服务器或PC的TMP目录中。 服务器或PC的定时任务发生变更。0x01 了解基本情况1.1 如何发现挖矿木马显著的行为特征就是极大的占用CPU及GPU和硬盘资源主要包括：高CPU和GPU、硬盘使用率、响应速度慢、崩溃或频繁重新启动、系统过热、异常网络活动（例如，连接挖矿相关的网站或IP地址）。其次是在网络流量中，挖矿木马通信过程采用专门的通信协议，因此存在一定的网络通信特征，因为要连接矿池，网络特征较多的都是TCP。1.1.1 异常外联安全设备告警 流量监控设备 工作人员人工发现 ...事件发生时的状况或安全设备告警等，能帮助应急处置人员快速分析确定事件类型，方便前期准备。1.1.2 主机异常CPU、GPU占用过高 主机温度异常 其他异常可获取CPU占用过高进程信息1.2 事件的时间节点出现事件时间 发现事件时间 处置事件时间了解事件发生时间节点：出现事件时间、发现事件时间、处置事件时间，确定这三个时间节点后，可通过时间相关性推算挖矿病毒产生大致时间，有助于后续挖矿病毒发现及清理。1.3 临时处置情况了解挖矿病毒临时处置的情况，方便后期的排查1.4 网络拓扑情况获取网络构架，网络构架一般来讲是要拓补图，详细的拓扑图可以协助还原攻击流程时，准确定位网络连接方向。0x02 判断是否属于挖矿根据了解到的基本信息来判断和确认是否挖矿事件2.1 属于挖矿2.1.1 根据告警和流量信息初步判断挖矿类型在不影响主业务运行的情况下，拔掉受害主机网线，并且切断网络连接可使挖矿现场尽量保持完整，有助于接下来的溯源工作顺利开展。可以先根据告警和流量信息初步判断挖矿类型，在互联网收集相关情报，若有相关分析文章可提高事件处置效率。2.1.2 windows2.1.2.1 信息收集CPU占用打开 cmd 窗口，输入 resmon 命令，通过资源监视器，找出CPU占用过高的程序，找到PID和进程名。网络连接1、使用netstat -ano 命令查看目前的网络连接，定位可疑的 ESTABLISHED2、根据 netstat 命令定位出的 PID 编号，再通过 tasklist 命令进行进程定位 tasklist | findstr "PID"netstat -ano tasklist | findstr "PID"端口查看Windows服务所对应的端口：%systemroot%/system32/drivers/etc/services可疑用户【计算机管理】->【本地用户和组】->【用户】选项，可查看隐藏账户，名称以$结尾的为隐藏账户。打开 cmd 窗口，输入 lusrmgr.msc 命令，查看是否有新增或可疑的账号。也可通过D盾查看系统中是否存在影子账户。计划任务a、打开控制面板->任务计划，查看计划任务属性，排查异常任务计划。b、打开 cmd 窗口，然后输入 at，检查计算机与网络上的其它计算机之间的会话或计划任务，如有，则确认是否为正常连接。进程信息a、Win+R，输入 msinfo32 命令，依次点击 "软件环境 -- 正在运行任务" 可以查看到进程的详细信息。b、通过安全分析工具进行排查。启动项a、开始->所有程序->启动，默认情况下此目录在是一个空目录，确认是否有非业务程序在该目录下。b、Win+R，输入 msconfig，查看是否存在命名异常的启动项目，是则取消勾选命名异常的启动项目，并到命令中显示的路径删除文件。c、Win+R，输入 regedit，打开注册表，查看开机启动项是否正常，检查是否有启动异常的项目。HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Runonced、利用安全软件查看启动项、开机时间管理。服务服务也是挖矿病毒常见的守护方式之一，将注册表中服务启动方式写为挖矿病毒主程序，从而达到守护进程目的。Win+R，输入 services.msc，注意服务状态和启动类型，检查是否有异常服务。TIPS:除以上方法外还可使用火绒剑、Process Explorer等安全工具进行分析和信息收集。2.1.2.2 定位通过[2.1.2.1信息收集](#####2.1.2.1 信息收集) 定位到PID和进程后，再定位挖矿程序文件和目录。查看进程对应的程序位置方法1：打开任务管理器，选择对应进程，右键打开文件位置方法2：Win+R，输入 msinfo32 命令，软件环境->正在运行任务，即可定位到程序的目录信息。方法3：通过安全分析工具进行定位。火绒剑->进程->右键进程信息 可直接定位到程序位置，且可查看其命令行参数。火绒剑->网络 可直接定位到程序位置TIPS：对于打开文件位置还找不到挖矿文件的情况，则挖矿程序可能被隐藏，可通过配置文件夹选项或通过安全分析工具提取来解决文件夹选项->查看->高级设置：取消隐藏受保护的操作系统文件、显示隐藏的文件、文件夹和驱动器。2.1.2.3 样本提取一般在挖矿程序文件目录中可找到对应的配置文件和信息，通过矿池地址和钱包地址能够进一步确认挖矿类型和挖矿程序的基本情况。若无相应配置文件，可通过云沙箱或专家对其进行深层次的分析。[0x03 样本分析](#0x03 样本分析)2.1.2.4 查杀根除双向封禁矿池地址防止挖矿木马继续外连，并且防止挖矿木马进行内网传播。删除启动项 删除计划任务Windows：使用SchTasks /Delete /TN [任务名] 删除计划任务。自启动项可以从以下三点入手：a、开始->所有程序->【启动b、系统配置中启动项（win+R->msconfig）c、注册表查找病毒程序名。删除服务Windows中删除服务可从任务管理器中手动删除也可使用命令：sc stop [服务名称]停止服务后，使用命令：sc delete [服务名称] 删除服务。杀死进程可使用进程管理工具或使用taskkill -PID [进程PID] -F结束恶意进程。删除文件Windows中删除时可能存在权限不足等情况，可使用360终端强杀，也可使用进程管理工具强制删除。...2.1.3 linux2.1.3.1 信息收集CPU占用 进程信息top -c-c 查看其完整的命令行参数top默认的排序列是“%CPU”ps -eo pid,ppid,%mem,%cpu,cmd --sort=-%cpu按照CPU占用显示进程信息Tips：查看隐藏进程：ps -ef |awk '{print}' | sort -n|uniq >111 ls /proc|sort -n |uniq >222 diff 111 222内存信息top -c -o %MEMps -eo pid,ppid,%mem,%cpu,cmd --sort=-%mem按照内存占用显示进程信息网络连接 端口netstat -pantl-p 显示正在使用Socket的程序识别码和程序名称-a 显示所有连线中的Socket-n 直接使用IP地址，而不通过域名服务器-t 显示TCP传输协议的连线状况-l 显示监控中的服务器的Socket计划任务a、 crontab# 列出某个用户cron服务的详细内容 crontab -l # 使用编辑器编辑当前的crontab文件 crontab -e b、anacroncat /etc/anacrontab cat /var/spool/anacron/*重点关注以下目录中是否存在恶意脚本/var/spool/cron/* /etc/crontab /etc/cron.d/* /etc/cron.daily/* /etc/cron.hourly/* /etc/cron.monthly/* /etc/cron.weekly/ /etc/anacrontab /var/spool/anacron/*服务服务也是挖矿病毒常见的守护方式之一，将注册表中服务启动方式写为挖矿病毒主程序，从而达到守护进程目的。查询已安装的服务a、RPM 包安装的服务# 查看服务自启动状态，可以看到所有的RPM包安装的服务 chkconfig --list # 查看当前服务 ps aux | grep crond b、源码包安装的服务检查/etc/rc.d/rc.local可疑用户| 命令 | 命令详解 || -------------------------------------------------------- | -------------------------------------------------- || who | 查看当前登录用户（tty本地登陆 pts远程登录） || w | 查看系统信息，想知道某一时刻用户的行为 || last | 显示近期用户或终端的登录情况 || uptime | 查看登陆多久、多少用户，负载 || cat /etc/passwd | 查看用户信息文件 || cat /etc/shadow | 查看影子文件 || awk -F: '$3==0{print $1}' /etc/passwd | 查看管理员特权用户 || awk '/\$1|\$6/{print $1}' /etc/shadow | 查看可以远程登录的用户 || cat /etc/sudoers | grep -v "^#\|^$" | grep "ALL=(ALL)" | 查看sudo权限的用户(有时攻击者会创建属于自己的用户) || cat /etc/passwd \|awk -F: 'length($2)==0 {print $1}' | 查看空口令账户(有时攻击者会将正常账户改为空口令) |2.1.3.2 定位通过[2.1.3.1信息收集](#####2.1.3.1 信息收集) 定位到PID和进程后，再定位挖矿程序文件和目录。方法1：通过top -c命令，可以看到可疑进程的完整目录信息和参数，从而定位到挖矿文件及目录方法2：通过以下命令，定位到挖矿文件位置lsof -p pidsystemctl status pid`ls -al /proc/`pid`/exe2.1.3.4 样本提取一般在挖矿程序文件目录中可找到对应的配置文件和信息，通过矿池地址和钱包地址能够进一步确认挖矿类型和挖矿程序的基本情况。若无相应配置文件，可通过云沙箱或专家对其进行深层次的分析。[0x03 样本分析](#0x03 样本分析)2.1.3.5 查杀根除双向封禁矿池地址防止挖矿木马继续外连，并且防止挖矿木马进行内网传播。删除计划任务crontab -e 删除对应的恶意计划任务删除存在以下目录的恶意计划任务/var/spool/cron/* /etc/crontab /etc/cron.d/* /etc/cron.daily/* /etc/cron.hourly/* /etc/cron.monthly/* /etc/cron.weekly/ /etc/anacrontab /var/spool/anacron/*删除启动项删除/etc/rc.local与/etc/rc[0到6].d文件中恶意启动项删除服务Linux中服务清除：sudo update-rc.d [服务名称] remove进程查杀查看是否存在子进程ps ajfx systemctl status若无子进程，直接kill -9 pid若有子进程，使用kill -9 -pid 杀死进程组删除文件查看文件占用lsof `文件名`若在进程查杀后仍有文件占用，则该进程可能是恶意进程，需继续重复之前步骤再次排查。无进程占用，直接使用rm命令删除恶意文件rm -rf [恶意文件绝对路径]Tips：若出现 rm: cannot remove ‘文件名’: Operation not permitted. 错误，则攻击者可能给文件添加了 a 和 i 的权限导致文件无法删除，可使用 lsattr 查看文件权限：lsattr [文件名]使用 chattr -i [文件名] 或 chattr -a [文件名] 修改文件权限，再用 rm 命令删除：chattr -i [文件名] chattr -a [文件名] rm -rf [文件名]2.2 其他事件处理流程若非挖矿事件，按照其他事件处理流程处置。0x03 样本分析3.1 备份挖矿程序对于发现的恶意文件和目录应及时备份，为后续分析做准备。Tips： 对于同系统文件一定要打包后再备份，防止发生二次感染。a、Linux：使用 scp 命令：scp -P 22 user@127.0.0.1:/usr/local/target /home/aaa其中：-P 指定SSH端口 从远程服务器将 target 文件下载到本地的 /home/aaa 使用 Xshell、FinalShell、MobaXterm 等集成工具。b、Windows：通过 RDP 3389 复制粘贴。 使用向日葵、ToDesk 等远程工具。 使用SMB共享服务传输。 ...3.2 云沙箱分析对可疑文件可先通过云沙箱在线分析，常用的云沙箱包括：微步云沙箱：https://s.threatbook.cn/ 安恒威胁情报中心：https://ti.dbappsecurity.com.cn/ 大圣云沙箱：https://sandbox.freebuf.com/ ...3.3 专家分析对云沙箱无法分析或分析不全时，可请求安全专家进行分析。0x04 溯源攻击溯源攻击是挖矿病毒应急响应的重要环节，以下是常规溯源流程：确定攻击入口： 检查系统日志、安全设备日志（如防火墙、IDS/IPS等）。 分析网络流量，定位可疑IP地址或域名。 检查系统是否存在未修复的漏洞或弱密码。 分析攻击手法： 通过样本分析确定挖矿病毒的类型和传播方式。 检查是否有横向移动的痕迹，如内网扫描、横向传播等。 确定攻击者身份： 通过IP地址、域名等线索，结合威胁情报，确定攻击者身份。 分析攻击者的C2服务器，追踪其活动轨迹。 总结攻击过程： 绘制攻击流程图，还原攻击者入侵路径。 撰写溯源报告，记录攻击细节和处置过程。0x05 附录5.1 常见挖矿病毒类型| 类型 | 特征 || -------------- | ------------------------------------------------------------ || XMRig | 使用CPU挖矿，常见于Linux系统，配置文件通常为 config.json。 || MinerGate | 支持多种加密货币，常见于Windows系统，会创建大量进程。 || Claymore | 主要用于以太坊挖矿，常见于GPU挖矿，会生成大量日志文件。 || 门罗币挖矿病毒 | 使用XMRig或类似工具，常见于Web服务器，通过Web漏洞传播。 || 蠕虫类挖矿病毒 | 具有横向传播能力，通过弱密码或漏洞在内网传播。 |5.2 常见挖矿病毒传播方式| 传播方式 | 描述 || ------------ | ---------------------------------------------- || 弱密码爆破 | 通过SSH、RDP等服务的弱密码进行传播。 || Web漏洞利用 | 通过Web应用漏洞（如Struts2、ThinkPHP等）传播。 || 恶意邮件 | 通过钓鱼邮件传播，附件中包含挖矿程序。 || 横向移动 | 通过内网扫描和漏洞利用，感染其他主机。 || 供应链攻击 | 通过第三方软件或更新包传播挖矿病毒。 |5.3 加固建议系统加固： 及时更新系统和软件补丁，修复已知漏洞。 禁用不必要的服务和端口，减少攻击面。 使用强密码策略，避免弱密码。 网络加固： 部署防火墙和IDS/IPS，监控异常流量。 限制外部访问，仅开放必要的端口和服务。 使用VPN等安全通道访问内网。 安全监控： 部署安全监控系统，实时监控系统资源使用情况。 定期检查系统日志，发现异常及时处置。 使用威胁情报平台，及时获取最新的攻击信息。 备份与恢复： 定期备份重要数据，确保数据安全。 制定应急响应预案，确保快速恢复业务。5.4 参考工具| 工具名称 | 用途 || ----------------------------- | ---------------------------------------- || Wireshark | 网络流量分析工具，用于分析异常流量。 || Process Explorer | 进程管理工具，用于分析可疑进程。 || Sysinternals Suite | 系统分析工具集，用于分析系统行为和进程。 || VirusTotal | 在线病毒扫描工具，用于分析可疑文件。 || Threat Intelligence Platforms | 威胁情报平台，用于获取最新的攻击信息。 |以上为清理病毒程序方式，后续还需使用终端杀毒对系统进行全面杀毒及加固，并观察是否还有反复迹象。一切以挖矿木马不再重启，不存在可疑外连为止。
助理安全研究员（漏洞挖掘与利用）（北京）薪资：17-19k，15薪，具体可进一步沟通投递方式：campus@360.cn职位职位链接：https://360campus.zhiye.com/campus/detail?jobAdId=69b88265-4f41-4e90-b2e3-02ae630c7631工作职责1、深入研究软件、设备、系统、网络协议等某领域或多领域的安全漏洞，利用逆向工程、模糊测试、静态/动态代码分析等技术，主动发现并验证新的安全漏洞；2、探索应用大语言模型（LLM）技术于Web与二进制领域的复杂漏洞挖掘，结合专业知识，设计构建相关自动化工具/流程；3、研究前沿攻防技术，跟踪国内外安全动态与漏洞披露信息，复现漏洞，研究攻击手法和防御技术，持续提升公司的安全研究能力；4、参与相关项目或课题，推动漏洞研究能力的价值转化。任职资格1、计算机科学、信息安全或相关领域本科及以上学历；2、对Web和二进制安全漏洞有一定的认知，具备一定的逆向分析能力和研究能力，熟练使用常见工具，如：IDA、WinDbg、GDB等；3、熟练掌握C/C++/Python等至少一种语言，熟悉X86或ARM汇编指令，有扎实的编程基础；4、对漏洞挖掘与利用感兴趣，有热情和自我驱动力，有一定的抗压能力和较强的团队协作精神。以上职位满足以下至少一项条件者优先录用：1、参加过天府杯、Pwn2Own等赛事，并成功攻破目标，作为CTF主力选手取得过优秀的成绩。2、在有影响力的业界会议（学术/工业）上发表论文；3、有独立挖掘漏洞的经验，获得过主流厂商的CVE编号；4、通过使用/定制/自研工具发现有效漏洞；安全研究员（Windows方向）（北京）薪资：17-19k，15薪，具体可进一步沟通投递方式：campus@360.cn职位直达链接：https://360campus.zhiye.com/campus/detail?jobAdId=d7b48154-dd38-45ee-9492-0b4baec1004a工作职责1持续跟踪并深入分析最新的Windows平台漏洞，研究其根本原理、高级利用技术及有效的缓解措施。2研究和复现野外流行的攻击手法、APT攻击中使用的先进技术，特别是针对杀毒软件、EDR等安全产品的绕过技术（如白利用、无文件攻击、内存驻留、EDR盲点等）。3基于研究成果，设计和开发创新的威胁检测模型和主动防御方案，并将其工程化，落地到实际的安全产品中，提升产品的核心检测与防护能力。任职资格1计算机科学、信息安全、网络工程或相关专业本科及以上学历。2精通C/C++编程，熟悉Python等脚本语言，具备扎实的Windows平台开发能力（如Win32 API, Native API）。3熟练掌握x86/x64汇编语言，能够熟练使用IDA Pro, WinDbg, x64dbg等工具进行静态分析和动态调试。4深入理解Windows操作系统内核机制，包括内存管理、进程/线程调度、对象管理、文件系统、驱动模型等。5对主流的漏洞利用技术（如ROP, JOP, 堆利用等）及相应的防御和绕过技术（如ASLR, DEP, CFG bypass）有深入的理解。6 对安全研究抱有浓厚兴趣和热情，具备强烈的自我驱动力、好奇心和优秀的学习能力，能够独立解决复杂技术问题。 加分项（满足以下一项或多项者优先）：7有独立发现并分析过漏洞（有CVE编号者优先）的经验。8有Windows内核驱动开发或内核安全攻防经验者优先。9有反病毒、反外挂、EDR、HIPS等安全产品核心研发经验者优先。10在知名安全会议或在安全社区、个人博客上发表过高质量技术文章者优先。11在CTF竞赛中取得过优异成绩者优先。.lakex-default-theme{--lakex-editor-background:#fff;--lakex-editor-background-primary:#fff;--lakex-editor-background-primary-hover:#EFF0F0;--lakex-editor-background-primary-hover-light:#E7E9E8;--lakex-editor-background-secondary:#FAFAFA;--lakex-editor-background-tertiary:#F4F5F5;--lakex-editor-background-foreground:#fff;--lakex-editor-border-light:rgba(0, 0, 0, 0.04);--lakex-editor-code-background:#0000000f;--lakex-editor-column-background-highlight:#D9EAFC7F;--lakex-editor-icon-secondary:#585A5A;--lakex-editor-selection:rgba(27, 162, 227, 0.2);--lakex-editor-table-bar-active:#2F8EF4CC;--lakex-editor-table-bar-danger:#E4495B5A;--lakex-editor-table-scrollbar-thumb:#00000033;--lakex-editor-text-color:#262626;--lakex-editor-text-body:#585A5A;--lakex-editor-text-caption:#8A8F8D;--lakex-editor-text-disable:#BEC0BF;--lakex-editor-text-link:#117CEE;--lakex-editor-text-link-hover:#5FA8F6;--lakex-editor-border-primary:#E7E9E8;--lakex-editor-card-background-hover:#5FA8F633;--lakex-editor-card-border-hover:#81BBF8;--lakex-editor-card-border-selected:#2F8EF4;--lakex-editor-color-black:#000;--lakex-editor-color-black-f05:rgba(0,0,0,0.05);--lakex-editor-color-black-f08:rgba(0,0,0,0.08);--lakex-editor-color-black-f12:rgba(0,0,0,0.12);--lakex-editor-color-black-f30:rgba(0,0,0,0.30);--lakex-editor-color-black-f65:rgba(0,0,0,0.65);--lakex-editor-color-blue1:#D9EAFC;--lakex-editor-color-blue2:#C0DDFC;--lakex-editor-color-blue3:#81BBF8;--lakex-editor-color-blue4:#5FA8F6;--lakex-editor-color-blue5:#2F8EF4;--lakex-editor-color-blue6:#117CEE;--lakex-editor-color-blue8:#074A92;--lakex-editor-color-blue9:#00346B;--lakex-editor-color-cyan1:#CEF5F7;--lakex-editor-color-cyan9:#004347;--lakex-editor-color-green5:#0BD07D;--lakex-editor-color-green6:#00B96B;--lakex-editor-color-green7:#009456;--lakex-editor-color-grey1:#FAFAFA;--lakex-editor-color-grey2:#F4F5F5;--lakex-editor-color-grey3:#EFF0F0;--lakex-editor-color-grey4:#E7E9E8;--lakex-editor-color-grey5:#D8DAD9;--lakex-editor-color-grey6:#BEC0BF;--lakex-editor-color-grey7:#8A8F8D;--lakex-editor-color-grey8:#585A5A;--lakex-editor-color-grey9:#262626;--lakex-editor-color-orange1:#FDE6D3;--lakex-editor-color-orange9:#663000;--lakex-editor-color-peaGreen1:#E8F7CF;--lakex-editor-color-peaGreen8:#406105;--lakex-editor-color-peaGreen9:#2A4200;--lakex-editor-color-red1:#FBE4E7;--lakex-editor-color-red4:#EA7583;--lakex-editor-color-red5:#E4495B;--lakex-editor-color-red6:#DF2A3F;--lakex-editor-color-red9:#70000D;--lakex-editor-color-theme:#00B96B;--lakex-editor-color-white:#fff;--lakex-editor-color-white-f60:rgba(255,255,255,0.6);--lakex-editor-color-white-f80:rgba(255,255,255,0.8);--lakex-editor-color-white-f90:rgba(255,255,255,0.9);--lakex-editor-color-yellow5:#F3BB2F;--lakex-alert-tips-bar-border:#BEC0BF;--lakex-alert-tips-bar-bg:#D8DAD9;--lakex-alert-tips-background:#EFF0F0;--lakex-alert-tips-border:#E7E9E8;--lakex-alert-info-bar-border:#C0DDFC;--lakex-alert-info-bar-bg:var(--lakex-alert-info-bar-border);--lakex-alert-info-background:rgba(192,221,252,0.5);--lakex-alert-info-border:#81BBF8;--lakex-alert-color1-bar-border:#B5EFF2;--lakex-alert-color1-bar-bg:var(--lakex-alert-color1-bar-border);--lakex-alert-color1-background:rgba(181,239,242,0.5);--lakex-alert-color1-border:#81DFE4;--lakex-alert-color2-bar-border:#C7F0DF;--lakex-alert-color2-bar-bg:var(--lakex-alert-color2-bar-border);--lakex-alert-color2-background:rgba(199,240,223,0.5);--lakex-alert-color2-border:#82EDC0;--lakex-alert-success-bar-border:#DBF1B7;--lakex-alert-success-bar-bg:var(--lakex-alert-success-bar-border);--lakex-alert-success-background:rgba(219,241,183,0.5);--lakex-alert-success-border:#C1E77E;--lakex-alert-warning-bar-border:#F6E1AC;--lakex-alert-warning-bar-bg:var(--lakex-alert-warning-bar-border);--lakex-alert-warning-background:rgba(246,225,172,0.5);--lakex-alert-warning-border:#F5D480;--lakex-alert-color3-bar-border:#F8D6B9;--lakex-alert-color3-bar-bg:var(--lakex-alert-color3-bar-border);--lakex-alert-color3-background:rgba(248,214,185,0.5);--lakex-alert-color3-border:#F8B881;--lakex-alert-danger-bar-border:#F8CED3;--lakex-alert-danger-bar-bg:var(--lakex-alert-danger-bar-border);--lakex-alert-danger-background:rgba(248,206,211,0.5);--lakex-alert-danger-border:#F1A2AB;--lakex-alert-color4-bar-border:#F7C4E2;--lakex-alert-color4-bar-bg:var(--lakex-alert-color4-bar-border);--lakex-alert-color4-background:rgba(247,196,226,0.5);--lakex-alert-color4-border:#F297CC;--lakex-alert-color5-bar-border:#D9C9F8;--lakex-alert-color5-bar-bg:var(--lakex-alert-color5-bar-border);--lakex-alert-color5-background:rgba(217,201,248,0.5);--lakex-alert-color5-border:#BA9BF2;--lakex-label-color0-bg:#F8CED3;--lakex-label-color0-border:#F1A2AB;--lakex-label-color0-text:#70000D;--lakex-label-color1-bg:#F6E1AC;--lakex-label-color1-border:#F5D480;--lakex-label-color1-text:#664900;--lakex-label-color2-bg:#DBF1B7;--lakex-label-color2-border:#C1E77E;--lakex-label-color2-text:#2A4200;--lakex-label-color3-bg:#EFF0F0;--lakex-label-color3-border:#EFF0F0;--lakex-label-color3-text:#262626;--lakex-label-color4-bg:#C0DDFC;--lakex-label-color4-border:#81BBF8;--lakex-label-color4-text:#00346B;--lakex-label-color5-bg:#C0CAFC;--lakex-label-color5-border:#96A7FD;--lakex-label-color5-text:#101E60;--lakex-calendar-blue-line:#117CEE;--lakex-calendar-blue-border:#81BBF8;--lakex-calendar-blue-background:#D9EAFC;--lakex-calendar-magenta-line:#D22D8D;--lakex-calendar-magenta-border:#F297CC;--lakex-calendar-magenta-background:#FBDFEF;--lakex-calendar-green-line:#74B602;--lakex-calendar-green-border:#C1E77E;--lakex-calendar-green-background:#E8F7CF;--lakex-calendar-red-line:#DF2A3F;--lakex-calendar-red-border:#F1A2AB;--lakex-calendar-red-background:#FBE4E7;--lakex-calendar-purple-line:#601BDE;--lakex-calendar-purple-border:#BA9BF2;--lakex-calendar-purple-background:#E6DCF9;--lakex-calendar-yellow-line:#ECAA04;--lakex-calendar-yellow-border:#F5D480;--lakex-calendar-yellow-background:#F9EFCD;}​
返回文档 助理安全研究员（漏洞挖掘与利用）（北京） 薪资：17-19k，15薪，具体可进一步沟通 投递方式：campus@360.cn 工作职责 1、深入研究软件、设备、系统、网络协议等某领域或多领域的安全漏洞，利用逆向工程、模糊测试、静态/动态代码分析等技术，主动发现并验证新的安全漏洞； 2、探索应用大语言模型（LLM）技术于Web与二进制领域的复杂漏洞挖掘，结合专业知识，设计构建相关自动化工具/流程； 3、研究前沿攻防技术，跟踪国内外安全动态与漏洞披露信息，复现漏洞，研究攻击手法和防御技术，持续提升公司的安全研究能力； 4、参与相关项目或课题，推动漏洞研究能力的价值转化。 任职资格 1、计算机科学、信息安全或相关领域本科及以上学历； 2、对Web和二进制安全漏洞有一定的认知，具备一定的逆向分析能力和研究能力，熟练使用常见工具，如：IDA、WinDbg、GDB等； 3、熟练掌握C/C++/Python等至少一种语言，熟悉X86或ARM汇编指令，有扎实的编程基础； 4、对漏洞挖掘与利用感兴趣，有热情和自我驱动力，有一定的抗压能力和较强的团队协作精神。 以上职位满足以下至少一项条件者优先录用： 1、参加过天府杯、Pwn2Own等赛事，并成功攻破目标，作为CTF主力选手取得过优秀的成绩。 2、在有影响力的业界会议（学术/工业）上发表论文； 3、有独立挖掘漏洞的经验，获得过主流厂商的CVE编号； 4、通过使用/定制/自研工具发现有效漏洞； 安全研究员（Windows方向）（北京） 薪资：17-19k，15薪，具体可进一步沟通 投递方式：campus@360.cn 工作职责 1持续跟踪并深入分析最新的Windows平台漏洞，研究其根本原理、高级利用技术及有效的缓解措施。 2研究和复现野外流行的攻击手法、APT攻击中使用的先进技术，特别是针对杀毒软件、EDR等安全产品的绕过技术（如白利用、无文件攻击、内存驻留、EDR盲点等）。 3基于研究成果，设计和开发创新的威胁检测模型和主动防御方案，并将其工程化，落地到实际的安全产品中，提升产品的核心检测与防护能力。 任职资格 1计算机科学、信息安全、网络工程或相关专业本科及以上学历。 2精通C/C++编程，熟悉Python等脚本语言，具备扎实的Windows平台开发能力（如Win32 API, Native API）。 3熟练掌握x86/x64汇编语言，能够熟练使用IDA Pro, WinDbg, x64dbg等工具进行静态分析和动态调试。 4深入理解Windows操作系统内核机制，包括内存管理、进程/线程调度、对象管理、文件系统、驱动模型等。 5对主流的漏洞利用技术（如ROP, JOP, 堆利用等）及相应的防御和绕过技术（如ASLR, DEP, CFG bypass）有深入的理解。 6对安全研究抱有浓厚兴趣和热情，具备强烈的自我驱动力、好奇心和优秀的学习能力，能够独立解决复杂技术问题。 加分项（满足以下一项或多项者优先）： 7有独立发现并分析过漏洞（有CVE编号者优先）的经验。 8有Windows内核驱动开发或内核安全攻防经验者优先。 9有反病毒、反外挂、EDR、HIPS等安全产品核心研发经验者优先。 10在知名安全会议或在安全社区、个人博客上发表过高质量技术文章者优先。 11在CTF竞赛中取得过优异成绩者优先。 ​
事因看到了之前佬友发帖推荐一个专门用来安装国产应用的沙盒软件 Sandboxie-plus ，本人有隐私洁癖又懒得搞两台机器，于是稍微深入研究了一下这个沙盒软件，用了一段时间感觉还不错，来跟佬友分享一下使用方式。为了方便查阅，我会把速通教程和注意事项放在前面，关于 Sandboxie 证书区别 / 沙箱区别 / 具体功能的详解会放在后面。声明：全文链接不包含 AFF。未经许可不允许转载。为什么要用沙盒？因为有些软件会偷偷扫盘 / 监听剪贴板。或者下载了不明来历的程序，担心其偷偷篡改系统设置和重要文件。而众所周知 Windows 的系统机制默认并不会阻止这些行为。有时虽然没到扫盘 / 监听那么严重，但退出应用后还有进程残留的软件其实也不在少数。总之如果你对软件掌控欲比较强 / 不信任某些软件 / 单纯有隐私洁癖，都可以考虑使用看看。另外这篇文章也会介绍 Sandboxie 里不同安全和隐私级别的沙箱，也许总有一款适合你。为什么不选其他方案？VM 虚拟机要开一个系统，开起来太吃资源，如果拿来日常跑一个或几个小软件未免太奢侈本地多用户 + 手动权限控制，太硬核太麻烦不适合本懒人Sandboxie Plus 特点非常轻量，启动极快，占用 CPU 和内存很小图形化界面算友好，有很细节的设置选项（反面来说也非常复杂，小白研究起来很不友好，这也是为什么浅写这篇教程的原因）沙盒内数据可以持久化，可以跑日常软件诸如微信 QQ 度盘等等，不会丢失记录会装载底层驱动和服务，因此会触发某些严格的游戏反作弊机制，详见速通配置注意事项及解决方法Github 自编译门槛非常高。非常建议直接付费买证书，详见各证书可使用的沙箱一览和购买渠道与注意事项速通教程（以微信为例）以下均以付费版蓝箱为例安装官网下载最新版本 Sandboxie-Plus.exe。注意不是 Sandboxie-Classic，详见 Sandboxie Plus和Classic的区别。除非你有特定需求，否则安装的时候不建议勾选提取全部文件以备便携化使用，选了的话会被频繁请求管理员权限。用途选个人，商业要买超贵凭证。另外要注意这个选项选定后，后续不能再更改。其他默认即可。付费认证菜单栏选项-全局设置-左侧栏捐赠支持-Sandboxie支持，将获得的密钥填入输入框内，点击应用和 OK。认证成功后，输入框底色会变成浅绿色，即可解锁高级功能。设置沙盒左上角沙箱-创建沙箱，输入沙箱名字，选择蓝色的具有数据保护的沙箱。考虑到后续希望单独控制每个软件的访问范围，建议一个软件给一个单独的沙箱。对着新建的沙箱双击或右键-沙箱选项，打开沙箱的设置。然后在左侧栏最底部找到配置文本，将里面默认的配置清空，并复制以下配置到配置文本里。注意修改 ForceFolder 和 OpenFilePath 中的路径！！Enabled=y BlockNetworkFiles=y BorderColor=#7f0055,ttl,3,192 Template=AutoRecoverIgnore Template=LingerPrograms Template=BlockPorts Template=qWave Template=FileCopy Template=SkipHook Template=OpenBluetooth Template=BlockAccessWMI Template=HideInstalledPrograms ConfigLevel=10 UseFileDeleteV2=y UseRegDeleteV2=y AutoRecover=y CopyLimitKb=-1 NeverRemove=y ForceProcess=Weixin.exe ForceFolder=E:\Program Files\Tencent\Weixin HideNonSystemProcesses=y UsePrivacyMode=y BoxNameTitle=- LingerExemptWnds=n LingerLeniency=n OpenFilePath=E:\Users\电脑用户名\xwechat_files OpenFilePath=C:\Users\电脑用户名\AppData\Roaming\Tencent OpenFilePath=E:\Program Files\Tencent OpenFilePath=C:\ProgramData\Tencent OpenFilePath=E:\Users\电脑用户名\Documents\WeChat Files HideFirmwareInfo=y RandomRegUID=y HideDiskSerialNumber=y HideNetworkAdapterMAC=y CustomLCID=2052 ForceChildren=Weixin.exe CustomColor=y 注：该速通配置为极度不信任模式，默认隐藏非必要路径、虚拟注册表、隐藏进程、隐藏硬件信息。相当于把微信关了小黑屋，它不知道你是谁，也不知道你装了什么软件、在干什么。但是配置好 OpenFilePath 路径后，微信是可以正常更新和保存聊天记录的。此配置默认开启了允许访问系统剪贴板，需要关闭请见速通配置注意事项及解决方法。每个参数具体含义请见设置&配置文本讲解。建议电脑全局搜索关键词确认所有相关的路径都已填写，否则打开微信时会报错或者有些奇奇怪怪的 bug（其他软件同理）。可以用 Everything 这个第三方工具搜索程序关键词，确认可能涉及的目录有哪些。然后应用，确定。检查沙箱-维护里的连接是否为灰色，如果是，则 Sandboxie Plus 已在运行状态。接下来只要你启动微信，微信就会自动被归到沙箱中运行。其他想要放进沙盒的软件也同理，可以直接复制配置，然后修改对应的 ForceProcess（强制入沙，即监测到该程序启动就自动归入沙箱中运行）、ForceFolder（同上，只是变更为监测文件夹内的文件）、ForceChildren（同上，但由该程序触发的子进程也会被强制入沙）、OpenFilePath（允许该沙箱访问的文件夹）即可。速通配置注意事项及解决方法关于剪贴板：以上速通配置限制了微信能够访问的文件夹，禁止访问了注册表、硬件信息、非必要系统文件夹等。但并没有限制微信访问剪贴板！限制方法：如果需要禁止访问剪贴板，可以在沙箱设置的常规选项-限制选项-其他限制-勾选阻止访问系统剪贴版进行阻止。我给的配置默认没有阻止，是因为我觉得这个选项要看个人愿意牺牲多少便利性。注意事项：Sandboxie Plus 目前管理剪贴板的方式只能一刀切，这意味着如果你阻止它访问剪贴板，那么你将完全无法在微信中使用 ctrl+c 和 ctrl+v，甚至是微信内部范围的复制粘贴功能都将无法使用。对的，Sandboxie Plus 对于剪贴板权限的管理目前只能全开或全关，没有中间态。所以要不要开放需要自己斟酌。为了大多数人使用方便，我在这里默认开启了。关于文件拖放：在速通配置中，你将无法再拖放 OpenFilePath 中已开放路径之外的文件到微信中直接发送，微信也没有办法把文件保存到桌面之类的地方了。原因很简单，微信没有权限访问你没有指定的文件夹。解决方法：把你常用的文件夹放入 OpenFilePath 中即可。如果不想直接开放诸如桌面之类的文件夹，也可以学我单独建一个 Exchage 文件夹，专供沙盒软件发送或下载文件用，也只需要新建一个文件夹，然后加一行 OpenFilePath 即可。关于游戏冲突：由于 Sandboxie Plus 会装载底层驱动（SbieDrv.sys）和服务（SbieSvc.exe），因此哪怕你没有运行沙盒软件，但只要 Sandboxie Plus 启用了驱动和服务，某些严格的游戏反作弊检测依然会将 Sandboxie Plus 视为潜在的作弊工具而阻止游戏启动或游戏异常。解决方法：建议玩游戏的时候不要启动沙盒软件及沙盒内软件（比如微信） 或者使用便携版（在安装时勾选提取全部文件以备便携化使用）。关闭和开启 Sandboxie Plus 驱动和服务：在开启游戏之前打开 Sandboxie Plus 本体，点击沙箱-维护-停止所有，等 Sandboxie Plus 标题栏变为未连接即可。玩完游戏如果要开微信，就得再次打开 Sandboxie Plus 本体，点击沙箱-维护-连接，否则微信将不会在沙箱中运行，而是直接在原生环境中运行！在沙箱中直接安装程序：如果其他软件在 ForceProcess、ForceFolder、ForceChildren、OpenFilePath 配置中遇到了困难或者奇怪的 bug，还可以考虑直接在沙箱中重新安装一遍。运行安装包：在沙箱上右键-运行-运行程序-浏览-选择安装包。创建快捷方式：右键沙箱-沙箱内容-创建快捷方式-选择保存快捷方式的位置，这样可以直接通过快捷方式唤起安装在沙箱内的应用。参数变更：如果在沙箱内直接安装程序，建议将 OpenFilePath 参数修改为 OpenPipePath，区别见下文。设置 & 配置文本讲解主要有两个设置，全局设置和沙箱设置。全局设置在选项-全局设置里，看个人喜好调整即可，不细讲了。讲讲沙箱设置。在上面的速通版教程里有一大串配置文本，这个配置文本里的每一行，其实都对应着图形化界面的设置。因为上面是速通，图省事我就直接给了配置文本。所以其实你也可以通过在设置界面点点点来改变配置文本的内容，两者是互通的。 配置项含义备注选项位置 UsePrivacyMode=y启用隐私模式（在 UI 中显示为蓝色沙箱）开启文件访问的白名单模式，只需要单独设置几个开放的文件夹即可达成高级隐私防护通用选项 - 沙箱选项 - 沙箱类型预设配置HideNonSystemProcesses=y隐藏非系统进程无法看到沙盒外部正在运行的其他软件，防止进程列表扫描高级选项 - 进程 - 勾选 “不允许沙箱内的进程查看任何沙箱外运行的进程”Template=BlockAccessWMI禁用 WMI 访问禁止查询详细的系统指纹信息（主板序列号、系统补丁情况等）高级选项 - 进程 - 勾选 “防止沙箱进程通过 WMI 访问系统细节信息”Template=HideInstalledPrograms隐藏已安装程序列表防止读取注册表中的已安装软件列表高级选项 - 进程 - 勾选 “隐藏宿主汪册表的软件卸载项”HideFirmwareInfo=y隐藏 / 伪造固件信息（如 BIOS/UEFI 信息）-高级选项 - 隐私 - 勾选 “隐藏固件信息”RandomRegUID=y使用随机的注册表唯一标识符（Registry UID）-高级选项 - 隐私 - 勾选 “混淆注册表中已知的唯一标识符”HideDiskSerialNumber=y隐藏或伪造硬盘序列号-高级选项 - 隐私 - 勾选 “隐藏硬盘序列号”HideNetworkAdapterMAC=y隐藏或伪造网卡 MAC 地址-高级选项 - 隐私 - 勾选 “隐藏网卡 MAC 地址”CustomLCID=2052伪造系统语言环境2052 代表 简体中文 (zh-CN)高级选项 - 隐私 - 使用自定义区域设置 / 语言 IDForceProcess=Weixin.exe强制入沙 (进程)只要在沙盒外启动 Weixin.exe，它就会被强制拉入这个沙盒运行程序控制 - 必沙程序 - 必沙程序ForceFolder=…强制入沙 (文件夹)只要是从这个文件夹启动的任何程序，都会强制入沙程序控制 - 必沙程序 - 必沙目录ForceChildren=Weixin.exe强制入沙 (子进程)微信启动的任何子进程也会被强制锁定在这个沙盒中程序控制 - 必沙程序 - 强制子进程LingerExemptWnds=n窗口残留设置主程序关闭后，如果后台窗口或进程试图驻留，沙盒会更积极地终止它们。当前无设置。程序控制 - 停止行为LingerLeniency=n进程残留设置主程序关闭后，如果后台窗口或进程试图驻留，沙盒会更积极地终止它们。当前无设置。程序控制 - 停止行为OpenFilePath=…允许沙盒内程序直接访问该文件夹这些路径下的文件修改会直接写入真实硬盘，不会被沙盒隔离资源访问 - 文件 - 访问 - 开放（如果将 “开放” 修改为其他选项，则参数不再为 OpenFilePath）UseFileDeleteV2=y启用文件虚拟化机制当沙盒内的程序试图读取、写入或删除文件时，Sandboxie 会拦截这些操作并重定向到沙箱文件夹中，从而保护宿主机系统不被修改。文件选项 - 文件选项 - 沙箱结构 - 虚拟化方案UseRegDeleteV2=y启用注册表虚拟化机制当沙盒内的程序试图读取、写入或删除注册表时，Sandboxie 会拦截这些操作并重定向到沙箱内虚拟的注册表中，从而保护宿主机系统不被修改。文件选项 - 文件选项 - 沙箱结构 - 虚拟化方案CopyLimitKb=-1禁用文件复制大小限制设置为 - 1 表示允许复制任意大小的文件进入沙盒，发送大文件或更新时避免报错很有用文件选项 - 文件迁移 - 取消勾选 “复制文件大小限制”BlockNetworkFiles=y阻止访问网络共享文件禁止沙盒内的程序访问任何网络路径，比如 NAS 或网络共享里的特定文件夹。网络选项 - 其他选项 - 勾选 “拦截对网络文件和文件夹的访问，除非专门开放访问权限”BorderColor=#7f0055,ttl,3,192沙箱程序标识 (边框颜色)鼠标移至程序边缘时显示，方便识别程序是否正在沙箱内运行通用选项 - 沙箱选项 - 外观 - 沙箱内窗口边框BoxNameTitle=-在标题栏显示的沙盒名称前缀设置为 - 通常表示不显示名称前缀（如 [#]），让窗口看起来像原生应用通用选项 - 沙箱选项 - 外观 - 标题栏中的沙箱标识NeverRemove=y启用沙箱删除保护防止你手滑删除沙盒文件选项 - 文件选项 - 沙箱删除选项 - 半勾选 “保护此沙箱免受删除或清空”OpenClipboard=n阻止访问系统剪贴板（n = 阻止，y = 放行）读写混合一刀切功能。如果你阻止它访问剪贴板，那么你将完全无法在该程序中使用 ctrl+c 和 ctrl+v，甚至是该程序内部范围的复制粘贴功能都将无法使用。常规选项 - 限制选项 - 其他限制 - 勾选 “阻止访问系统剪贴板” 设置里可能会有很多看不懂的选项，这个时候可以查阅官方文档。需要特别提一嘴的是 OpenFilePath 和 OpenPipePath。资源访问-文件-访问设置为开放则为 OpenFilePath，设置为完全开放则为 OpenPipePath。根据 Sandboxie 的文档，OpenPipePath 和 OpenFilePath 的主要功能都是允许沙盒内的程序直接访问和修改宿主机上的特定文件或资源（即 “穿透” 沙盒），但它们的核心区别是对 “沙盒内程序” 穿透行为的限制有所不同。OpenFilePath：核心机制：仅当运行的程序直接安装在宿主机上时，该规则才生效。如果程序的可执行文件位于沙盒内部（例如直接安装在沙盒内），则 OpenFilePath 设置​不会生效。用途：主要用于允许访问常规的文件和文件夹。如允许浏览器将书签保存到宿主机，或者允许直接修改 “文档” 文件夹中的文件。OpenPipePath：核心机制：无论运行的程序安装于沙盒外部还是内部，该规则始终生效。开放度更高，安全性更低。 沙盒内部创建或下载的程序（如潜在的恶意软件），也能通过此设置修改宿主机上的文件。建议仅在必要时使用。用途：也可以用于允许访问文件和目录，但主要是可以允许沙盒程序与宿主机的服务进行通信（如打印服务或用户账户管理服务等）。Sandboxie Plus 和 Classic 的区别两者都是基于老牌沙盒软件 Sandboxie 开发的开源版本，共享相同的核心组件（驱动程序和服务）。原软件 Sandboxie 已于 2019 年停止维护，并被原公司开源。Classic 的 UI 框架太古老，因此不再进行开发，所以缺少新功能的图形化配置界面。Plus 使用了新 UI 框架且还在持续开发中，所以有很多 Classic 版本 UI 中没有的功能。证书体系和功能的区别 证书类型设备 / 用户限制过期后行为高级功能包获取途径 Free (免费版)无限制永久免费不可用 (功能受限)官网购买 / Patreon 订阅 / 爱发电订阅 / 那个市场的神秘力量Home (家庭订阅版)个人所有设备停止工作 (需续费)需单独购买同上Personal (个人永久版)个人所有设备仍可使用旧版本 (仅停止更新)需单独购买同上Family Pack (家庭包)覆盖全家人 (含不同住址)停止工作 (需续费)需单独购买同上Eternal (永久)个人及家人永久更新与使用已包含同上Business (商业版)看具体 PC 数量停止工作 (需续费)需单独购买同上Contributor (贡献者)个人使用永不过期已包含贡献代码 / 翻译文档等，需要联系开发者获取 Home/Family/Business 类似于 “订阅 / 租赁”，证书过期后软件的高级功能会停止工作。Personal 类似于 “买断当前版本 + 1 年更新”，证书过期后将无法下载新版本，但可以永久使用过期前发布的旧版本，且高级功能保持解锁。高级功能包大概包含沙盒加密、SOCKS5 代理注入、DNS 过滤等功能，大多数人用不到。各证书可使用的沙箱一览 沙箱类型主要功能免费版 (Free)标准支持者 (Home/Personal/Business)高级 / 永久支持者 (Eternal/Contributor) 标准隔离 (黄色)基础的文件与注册表隔离完全可用完全可用完全可用应用分身 (绿色)兼容性模式 (无令牌隔离)有限制 (5 分钟后终止)完全可用完全可用数据保护 (蓝色)隐私模式 (隐藏个人数据)有限制 (5 分钟后终止)完全可用完全可用安全强化 (橙色)安全模式 (限制系统调用)有限制 (5 分钟后终止)完全可用完全可用加密沙箱 (黑色)机密模式 (AES 加密 + 防读取)不可用需购买高级包完全可用 Free 可用的黄色沙箱，其文件 / 目录隔离属于黑名单模式。意思是如果你不指定不可访问哪些文件夹的话，程序默认都可访问。如果试图用黄箱完成蓝箱隐私防护效果的话，你也许需要手动添加成百上千条 ClosedFilePath 限制。如果图省事而尝试封印整个 C 盘的话程序会直接无法运行，所以黄色沙箱适合只想防护个别文件夹的人使用。Free 以上的级别，除了黑色沙箱比较特殊之外，其他沙箱均可使用。各个沙箱的具体介绍1 和 5 为组合沙箱，黑色加密沙箱大多数人用不到，所以只讲一下剩下的四种基础沙箱（但其实每种沙箱都可以自定义，默认沙箱模板只是更快更方便而已）。标准沙箱适用场景：日常软件隔离、测试未知程序。特点：提供标准的文件系统和注册表虚拟化。即默认允许读取宿主机的大部分文件（如 C 盘文件），但写入操作会被重定向到沙箱的文件夹中，从而保护宿主机文件不被修改。安全性：拥有独立的令牌隔离，比应用分身（绿箱）具有更高的安全性。应用分身沙箱适用场景：应用多开（如微信）、运行在标准沙箱中无法启动的复杂软件（如某些带有反作弊的游戏、复杂的开发工具）。特点：牺牲部分安全性以换取最大兼容性。也保留文件和注册表的虚拟化（写入重定向），防止污染系统。安全性：无令牌隔离，进程以原始用户权限运行，不剥夺管理员权限。安全强化沙箱适用场景：运行极高风险的恶意软件或病毒样本分析。特点：牺牲部分兼容性以换取最大安全性。严格限制程序可以调用的 Windows 内核函数，仅允许白名单内的系统调用，默认禁止访问驱动器和硬件设备。安全性：最高级别防护。数据保护沙箱适用场景：保护个人隐私数据不被恶意软件读取（如运行毒瘤软件、不可信软件和网页）。特点：默认情况下仅允许读取 C:\Windows 和 C:\Program Files 等系统运行必须的路径，注册表只能读取 系统配置，无法读取用户配置，沙箱内进程无法读取宿主机上的个人文件（如文档、图片、桌面），只能看到空的文件夹。安全性：中等，也可以自定义令牌隔离 / 管理员权限。购买渠道与注意事项官网和 Patreon 订阅：贵。所以我根本没买。 猜测需要外币卡。爱发电：中国特供购买渠道，是某 B 站 UP 主联系开发者协助开通的渠道。最低 8 元 / 月即可解锁红蓝箱，28 元以上即可解锁和开发者 email 热聊。各档位具体权益可以去爱发电细看。那个市场：付费破解。相当于买断当前版本，不能更新。贸然运行他人提供的破解程序需要承担非常高的安全风险，请自行判断。另外有副作用：无法访问官网及所有在线支持文档。码了两天终于完成了这篇详解，希望各位佬友可以点个赞📌 转载信息来源： https://linux.do/t/topic/1416629原作者： Boom00转载时间： 2026/1/7 19:02:27