必须为非法程序在防火墙中创建定向出站+入站拦截规则：先用wf.msc打开高级安全防火墙，选“程序”类型精确定位主EXE文件，操作设为“阻止连接”，全选域/专用/公用配置文件，命名含“出站_阻断”；再同步为同一程序添加入站阻止规则以防被动响应。
要阻止非法程序偷偷联网上传数据或接收远程指令，必须在系统防火墙中为该程序创建定向拦截规则，否则它可能绕过常规权限设置持续通信。
用图形界面创建出站阻止规则
第一步：按下 Win + R 键，输入 wf.msc 并回车，直接打开高级安全 Windows Defender 防火墙控制台。这比搜索“防火墙”更快，且避免进入普通防火墙界面导致后续操作失败。
第二步：在左侧面板中右键点击“出站规则”，选择“新建规则…”启动向导。
第三步：选择“程序”类型，点击“下一步”。注意不要选“端口”或“自定义”，否则会拦截整个端口而非特定程序。
第四步：勾选“此程序路径”，点击“浏览”，精确定位到目标程序的主执行文件（.exe），例如 C:\Program Files\UnwantedApp\UnwantedApp.exe。必须选对主程序，若选错DLL或快捷方式，规则将完全无效。
第五步：在“操作”页选择“阻止连接”，点击“下一步”。这一步是核心，选“允许连接”就等于白做。
第六步：在“配置文件”页必须全选“域”“专用”“公用”三项，否则程序在Wi-Fi、手机热点或公司网络下仍能联网。
第七步：命名规则时建议包含“出站_阻断”字样，例如“拦截UnwantedApp_出站_阻断”，便于后期识别和管理，点击“完成”即生效。
同步添加入站规则防被动响应
有些非法程序不主动外连，而是监听本地端口等待远程服务器发起连接（比如盗版验证回调、P2P心跳包、远程控制信标），仅设出站规则毫无意义。
方法一：回到同一防火墙控制台，左侧面板右键“入站规则”→“新建规则…”→同样选“程序”→“浏览”定位到→操作选“阻止连接”→配置文件全选→命名为“拦截UnwantedApp_入站_阻断”→完成。
方法二：在“入站规则”列表空白处右键→“属性”→切换到“常规”选项卡→勾选“已启用”，确保规则不是灰色禁用状态。很多用户建完就以为好了，结果发现规则实际未启用。
用netsh命令行一键部署双向拦截
以管理员身份运行 Windows PowerShell，依次执行以下两条命令（请将路径替换为实际程序绝对路径）：
netsh advfirewall firewall add rule name="拦截UnwantedApp_出站" dir=out program="C:\Program Files\UnwantedApp\UnwantedApp.exe" action=block enable=yes
netsh advfirewall firewall add rule name="拦截UnwantedApp_入站" dir=in program="C:\Program Files\UnwantedApp\UnwantedApp.exe" action=block enable=yes
执行后无任何提示即表示成功；若返回“错误：对象已存在”，说明同名规则已存在，无需重复添加。
命令中dir=out 和 dir=in 不可互换，写反会导致规则方向错误，程序照常通信。
