检测app.any.run沙箱运行环境

最新推荐文章于 2025-08-25 00:06:32 发布

原创最新推荐文章于 2025-08-25 00:06:32 发布 · 1.6k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#anti-sandbox #检测沙箱

Anti-SandBox 专栏收录该内容

2 篇文章

订阅专栏

本文介绍了一种检测App.any.run沙箱环境的方法，通过查找特定的进程'host.exe'，该进程在正常系统中不存在，但在沙箱环境中出现。使用C++编写了检测代码，实现了恶意代码在沙箱环境中的行为检测。

检测app.any.run沙箱环境，先写了个遍历进程的demo传上去，看看进程列表有什么沙箱特有的进程。
发现个进程很奇怪，路径是：c:\windows\system32\host.exe ，竟然没有随机名
在这里插入图片描述
正常的系统下是没有这个文件的，所以就拿这个来做了，效果图

检测代码：

#include "stdafx.h"
#include <windows.h>
#include <string>
#include <fstream>
#include <iostream>
using namespace std;

inline bool exists_test0(const std::string& name) {
    ifstream f(name.c_str());
    return f.good();
}
int _tmain(int argc, _TCHAR* argv[])
{
    string test_file = "c:\\windows\\system32\\host.exe";
    if (exists_test0(test_file))
    {
        cout << "detected sandbox" << endl;
    }
    else
    {
        cout << "executing malicious code" << endl;
    }
    system("pause");
	return 0;
}