Question

用虚拟机好还是用沙盘好？

请各位大牛说一下，谢谢。

Answer 1

两者的原理完全不同，沙盘是一个安全软件，有点类似于影子系统，可以在系统中中隔离出一个可以运行软件的孤立环境，可以避免软件对系统、数据产生的更改。除了保护系统，用作测试软件也是不错的选择。虚拟机准确来说是一个系统软件，可以从底层模拟出一台或多台“真实”的主机，之所以说“真实”，是因为这些主机有硬件（虚拟设备），可以安装系统，在虚拟系统里安装软件、上网都没问题，使用起来跟真实系统无异（当然性能肯定不及真实系统），这些“真实”的主机都是隔离的系统环境，里面的所有操作都不会对本机造成影响。除了做软件测试，还可以做很多测试和实验。简单来说，相对于虚拟机，沙盘只能完成简单的保护功能，而虚拟机却可以完全模拟出一个真实的系统环境。

Answer 2

虚拟机技术是利用虚拟机对计算机病毒运行进行监控的技术，这里的虚拟机指的是完全虚拟(Pure Emulator)。虚拟机技术是通过模拟CPU指令系统、内存管理系统、操作系统、API调用系统等完成的，这是一个纯粹的虚拟环境，病毒在其中运行，和当前的系统完全隔离。在这种虚拟环境下可以实现病毒的脱壳、行为判断等多种功能。动态启发利用了上述的虚拟机功能，在虚拟机环境下运行病毒，监控病毒的行为实现。例如病毒调用了哪些有危害的API，修改了哪些注册表键值，创建了哪些文件等。动态启发的深度取决于虚拟机虚拟的深度。沙盒技术事实上也是一个模拟环境，病毒可以在这个环境中任意运行而不破坏系统资源。它和虚拟机的不同在于：沙盒的运行是借助于当前系统资源的，例如API的执行，异常的调度等，一般是把API用hook的方法拦截掉。而虚拟机用的资源(例如API)是需要完全自己虚拟出来的，并不是调用系统已有的资源。可以这样理解，前几年流行的“主动防御”技术也是通过hook API的方法实现的，是在Windows层进行动态行为判断的一种技术，是沙盒技术的一个子集，只有拦截而没有回溯功能。而沙盒技术可以使虚拟环境回到程序原始点。沙盒可以算是虚拟机的一种发展，其技术原理似乎也和虚拟机大致相同，但它们仍有很大区别。沙盒是一种更深层的系统内核级技术，在一个程序运行时，沙盒会接管程序调用接口或函数的行为，并会在确认病毒行为后实行“回滚”机制，让系统复原。而虚拟机并不具备回滚复原机制，在激发病毒后，虚拟机会根据病毒的行为特征判断出是某一类病毒，并调用引擎对该病毒进行清除，两者之间有着本质的区别。

Answer 3

就目前而言，虚拟机技术比较稳定，沙盒技术，还是存在漏沙的情况。但是一些大型的反病毒软件公司已经是可以做到稳定的控制，这也是为何有些反病毒软件使用虚拟机技术，而有些，是采用沙盒技术的以讹个很重要的原因。