随着办公数字化、数据云端化等概念在政府、企业、高校、军队内的不断落地,针对这些目标的攻击事件层出不穷。在所有类型的攻击事件中,由于高级可持续性威胁(APT)的攻击目标明确、攻击行为多样、攻击阶段复杂、时间跨度长,是公认的最难以分析的攻击事件。随着资源的增加、技术的进步,采用沙箱技术来动态分析APT样本的企业逐步增加,沙箱动态分析被认为是防御APT的最后一道防线。然而,目前超过80%的APT样本采用多种机制探测沙箱环境,当发现自身运行于异常环境时会停止恶意行为。对于符号执行系统,反沙箱检测会导致程序分析产生多个分支,恶意行为的分支淹没其中。进一步,如果无害行为中分支存在混淆代码,会造成路径爆炸问题,甚至导致符号执行系统的崩溃。通过对符号执行核心原理的分析,并且结合APT报告中出现的反沙箱检测机制,本文使用开源二进制符号执行工具ANGR作为基础系统,在其上补充了Win32 API挂钩、VEX指令修补、内存结构完善三种插件,并设计了一种可应对未知反沙箱检测的托底方案,开发了原型系统。原型系统既可以使程序只执行包含恶意行为的分支,又可以自动生成反沙箱检测的IOC指标,代表攻击者使用工具的特征。在实验评估部分,使用al-khaser与paranoid fish两款开源的反沙箱检测软件,将原型系统与ANGR进行纵向对比,证明原型系统可以有效避免执行冗余分支;将原型系统与商用沙箱系统进行横向对比,证明原型系统可以应对更多的反沙箱检测手法。最后,对Kasidet后门程序使用原型系统进行分析,成功绕过了所有反沙箱检测机制,并生成了反沙箱IOC特征,证明了原型系统的可用性。