在 Sandboxie 配置中，ClosedIpcPath 用于拒绝沙盘内进程访问指定的 IPC（进程间通信）对象路径。把宿主程序使用的命名管道、互斥体、事件或 RPC 对象路径列入规则后，沙盘内进程就不能通过这些对象与宿主程序通信。

例如：

ClosedIpcPath=\RPC Control\SomeService
ClosedIpcPath=\BaseNamedObjects\SomeMutex

具体路径要按实际 IPC 对象的名称填写；可用 Sandboxie 的资源访问记录等方式确认进程访问了哪些对象。路径写得过宽，可能连沙盘内程序自身需要的 IPC 也一并阻断，导致程序无法启动或功能异常。

需要注意：

• ClosedIpcPath 只阻断匹配到的 IPC 路径，不是关闭所有沙盘内外通信。
• 它不等同于阻断网络通信；网络访问要用相应的网络限制规则。
• 如果另有 OpenIpcPath 等放行规则，最终效果还取决于规则匹配和优先级。配置后应检查沙盘日志，确认目标访问确实被拒绝且必要的 IPC 未受影响。

可以。沙盘浏览器通常能使用开发者工具，常见方式是按 F12 或 Ctrl+Shift+I（macOS 上通常是 ⌥⌘I）。

不过具体能否打开，取决于沙盘浏览器的版本和配置；有些环境会禁用开发者工具，或限制网络、文件和调试功能。如果快捷键无效，可以在浏览器菜单里查找“开发者工具”，或查看该沙盘的使用说明。

在沙盘中分析程序释放了哪些文件，核心是记录运行前后的文件系统变化，并把变化关联到程序及其子进程。

通用流程

1. 准备干净环境

   • 使用隔离的虚拟机或沙盘，先创建快照。
   • 记录程序运行前的目录状态；尽量不要放入真实个人文件。
   • 运行程序时观察完整流程，包括弹窗、安装步骤和延迟行为。

2. 记录文件操作
   重点关注：

   • 新建、写入、覆盖文件
   • 临时文件和缓存
   • 重命名、移动、删除
   • 子进程创建的文件
   • 用户目录、临时目录、启动目录、系统目录中的变化

3. 比对运行前后
   检查运行前后目录清单、时间戳和文件哈希。这样能发现新增文件，也能发现被覆盖的文件。若程序会延迟释放文件，可在运行后继续观察一段时间。

Windows

可用 Process Monitor（Procmon）：

• 以管理员身份启动，清空现有事件后开始捕获。
• 用 Process Tree 找到目标程序及其子进程，并按进程名或 PID 过滤。
• 重点查看 CreateFile、WriteFile、SetRenameInformationFile、SetDispositionInformationFile 等事件。
• 检查事件路径、操作结果和进程名；保存 .PML 日志供后续分析。

也可以使用 Windows Sandbox 或其他沙盘的“文件系统变化 / 行为报告”功能。注意：只按主程序名过滤可能漏掉由它启动的子进程。

Linux

可用 strace 跟踪文件相关系统调用，例如：

strace -ff -o trace -e trace=%file ./program

日志中可搜索 openat、creat、rename、unlink 等调用及对应路径。strace 记录的是程序尝试执行的操作，需结合返回值判断操作是否成功；写入内容和最终文件状态还应通过文件系统比对确认。

最后确认

对疑似释放出的文件记录路径、大小、时间戳、SHA-256 哈希，必要时复制出来做静态分析。不要仅凭“文件被打开”就认定它是新释放的文件：程序也可能只是读取了该文件。

要看你说的“沙盘浏览器”具体是哪款软件、运行在哪种沙箱里。通常沙箱不会自动继承宿主机的系统代理；需要在沙箱内部或浏览器启动参数中单独设置。

如果是 Windows 沙盒或虚拟环境

在沙箱内打开 设置 → 网络和 Internet → 代理，按宿主机的代理地址配置。若使用 PAC 自动配置脚本，也要在沙箱里填入 PAC 地址。宿主机的代理设置通常不会自动传进去。

如果是 Chromium 系浏览器，也可以通过启动参数指定代理，例如：

--proxy-server=http://127.0.0.1:7890

注意：这里的 127.0.0.1 指的是沙箱自身。如果代理程序运行在宿主机上，沙箱里的 127.0.0.1 通常无法访问宿主机，需要改用宿主机在虚拟网络中的地址，并确认防火墙允许连接。

如果是 Linux 或容器

可以在启动沙箱时传入代理环境变量：

HTTP_PROXY=http://代理地址:端口 \
HTTPS_PROXY=http://代理地址:端口 \
启动命令

部分程序不读取这些环境变量，仍需在程序或浏览器设置中单独配置。

另外，Windows 的“系统代理”、WinHTTP 代理和应用自带代理设置可能是不同配置；某个程序没有走系统代理时，通常需要在该程序里指定代理。告诉我沙盘浏览器的名称、操作系统，以及代理类型（地址端口或 PAC），我可以给你对应的具体步骤。

Sandboxie 的“查看沙盒内容”用于浏览某个沙盒里生成或修改的文件，不会把文件自动恢复到真实系统。

常见用法：

1. 打开 Sandboxie-Plus 主窗口。
2. 在左侧或列表中找到目标沙盒。
3. 右键点击沙盒，选择 “查看内容 / Explore Contents”（不同版本的菜单名称可能略有不同）。
4. 文件管理器会打开该沙盒的文件目录。通常可在里面查看、复制或删除文件。

也可以在系统托盘中右键 Sandboxie 图标，找到对应沙盒，再选择查看内容。

如果想把文件恢复到真实系统：在沙盒菜单中选择 “快速恢复 / Quick Recovery”，或在内容窗口中使用恢复相关选项。恢复前建议确认文件来源可信；直接从沙盒目录复制文件也能取出，但不会经过 Sandboxie 的恢复流程。

如果找不到该选项，可以检查 Sandboxie-Plus 的沙盒配置，或在主窗口中对沙盒使用“打开沙盒文件夹”等类似入口。不同版本的菜单名称和位置可能不同。

这取决于你说的“沙盘”是哪一种。一般来说，安装结果分为安装文件、配置文件和安装日志，提取方式不同：

• 需要保存生成的文件：安装前把宿主机目录映射或共享到沙盘中，安装时将文件输出到该目录；也可以安装后从沙盘内复制到共享目录。
• 需要查看安装日志：在安装程序中启用日志选项，或检查系统的临时目录、安装目录及事件日志，再复制到宿主机。
• 想把已安装的软件带出沙盘：通常不能直接复制安装目录就正常运行，因为软件可能依赖注册表、系统组件、服务或驱动。更可靠的方式是保存安装包和配置，在目标环境重新安装；如果平台支持，也可以导出沙盘镜像或制作容器镜像。
• 如果是 Windows Sandbox：沙盘关闭后内容会被清除。可在 .wsb 配置文件中设置宿主机文件夹映射，并设为可写，然后把需要保留的文件复制到映射目录。

告诉我你使用的具体沙盘（例如 Windows Sandbox、Docker、虚拟机或某个在线平台），以及想提取的是程序本身、文件还是安装日志，我可以给你对应步骤。

这取决于“沙盘”具体限制了什么，以及程序写的是哪类驱动。

• 普通应用程序不能直接把驱动写进内核：写入驱动文件通常需要管理员权限；加载驱动通常还需要内核权限、签名等条件。沙盘往往会阻止这些操作。
• 如果被拦截：写入或加载请求会失败，程序可能收到“权限不足”“访问被拒绝”等错误；沙盘也可能记录或报告该行为。
• 如果沙盘配置允许相关权限：驱动文件可能被写入隔离区域，但能否加载到宿主机内核是另一回事。加载成功会突破普通文件隔离的边界，风险很高。
• 具体结果因平台而异：虚拟机、容器和应用沙盒的隔离方式不同。容器尤其不应被默认视为能安全隔离内核级操作。

如果你是在测试程序，建议在一次性虚拟机或专用测试设备中进行，并避免给沙盘容器开放宿主机设备、内核接口或特权权限。

可以，但要看你说的“沙盘”是哪种：

• Windows Sandbox（Windows 沙盒）：沙盒关闭后内容会清除，不能直接把已安装的软件导出到真实系统。通常需要在真实系统里重新下载安装；若软件安装包保存在共享文件夹中，可以从那里取回。
• Sandboxie 等应用沙盒：可以尝试把沙盒中的文件复制出来，但程序可能还依赖注册表项、运行库或服务，单纯复制安装目录未必能正常运行。
• 虚拟机：可以通过共享文件夹或拖放复制安装包、文档等；想迁移已安装软件则通常要重新安装，或迁移整个虚拟机。

如果你告诉我沙盘软件的名称，以及要导出的是安装包、已安装程序还是软件数据，我可以给你具体步骤。

下面是一套用于测试捆绑安装包的保守配置思路：限制它访问真实文件、网络和敏感系统位置，并在测试后直接销毁沙箱。Sandboxie Plus 的版本和界面名称可能不同，建议优先在界面中设置；.ini 配置项也可能因版本而异。

建议配置

新建一个专用沙箱，例如 BundleTest，不要用日常浏览网页或保存个人文件的沙箱。

在沙箱设置中：

• 隔离级别：选择较严格的默认隔离模式；启用 Drop Admin Rights（丢弃管理员权限）。
• 文件恢复：关闭自动恢复（Auto Recover）；不要把真实的“下载”“桌面”或文档目录加入可写/恢复位置。
• 网络：若不需要联网，设为禁止网络访问。若必须测试联网行为，优先用虚拟机快照和受控网络；至少不要允许访问局域网。
• 文件访问：不要开放真实的个人目录作为可写路径；避免对整个磁盘设置 OpenFilePath 或类似宽泛例外。
• 注册表与系统对象：保持默认隔离，不添加放宽访问的例外。
• 结束后清理：测试完成后关闭沙箱内所有程序，选择删除沙箱内容，不要恢复可疑文件。

测试流程

1. 先更新 Sandboxie，并确认沙箱内没有真实账号、令牌或敏感文件。
2. 把待测安装包复制到专用沙箱的临时目录中，再从沙箱内启动。
3. 安装程序要求提升权限时，不要因此给它真实管理员权限；确需观察提权行为时，优先在可回滚的虚拟机中测试。
4. 需要联网时单独开一个测试环境，并观察其进程、文件和网络行为。
5. 记录结果后销毁沙箱内容；不要把沙箱中的未知文件直接恢复到宿主机。

关于 .ini

不建议直接套用网上的“完整配置文件”：Sandboxie 的配置语法会随版本变化，错误或过宽的路径例外可能削弱隔离。可在 Sandboxie Plus 的沙箱属性中设置上述选项，再通过配置编辑器检查该版本实际生成的配置。特别避免为了让安装程序“正常工作”而随意添加全盘可写、真实用户目录可写或广泛网络访问规则。

注意：Sandboxie 是应用隔离工具，不等同于虚拟机。 对来源不明、疑似恶意或需要观察驱动、提权行为的软件，使用带快照的虚拟机更合适，并保持宿主机和共享目录隔离。

DropAdminRights 用于让程序在启动或运行时放弃当前进程的管理员权限，以降低权限运行。

实际效果取决于程序如何实现该选项以及启动环境：若进程以管理员身份启动，启用后通常会切换到普通用户权限，之后需要管理员权限的操作可能失败；若进程本来就没有管理员权限，通常不会有明显变化。具体会影响哪些操作，还要看该程序的文档或配置实现。