沙盒使用“in-guest-monitoring”机制，它们会向目标或分析环境中注入代码、进程或钩子函数HOOK等等。如果这些修改被撤销或规避，那么沙盒的安全机制将会失效。也正是基于此，沙盒很少用于具有内、外兼防性质的数据防泄密、源代码防泄密等场景，而专注于防外性质的防病毒场景。
1）钩子HOOK移除：可以通过恢复初始指令或数据来移除函数钩子。
2）钩子HOOK规避：可以通过使用直接系统调用来规避函数钩子，不使用应用程序编程接口（API）。
3）钩子HOOK绕过：可以通过调用private函数，或直接重写一个新的API接口调用（无函数钩子HOOK）。
4）钩子HOOK系统文件替换：钩子通常驻入在系统文件之中，并映射在内存中。可以通过重载这些文件，然后加载没有钩子HOOK的文件。
