必须启用Windows Sandbox并禁用网络：它提供全新系统实例，关闭后所有变更自动清除；需专业版/企业版/教育版、CPU虚拟化与虚拟机平台双启用；配置secure.wsb文件禁用网络实现真正隔离。
要在 Windows 11 中安全运行高危 EXE 文件，避免其修改注册表、写入启动项、访问文档或外连网络，必须启用 Windows Sandbox 功能——它每次启动都生成全新系统实例，关闭后所有进程、文件、注册表变更自动清除，不留任何残留痕迹。
确认系统版本与虚拟化就绪
Windows Sandbox 仅支持专业版、企业版或教育版，家庭版默认不可用；且强制依赖 CPU 硬件虚拟化与系统级「虚拟机平台」组件双启用。任一缺失将导致沙盒无法创建或启动即崩溃。
按下 Win + R 键，输入 winver 并回车，核对弹出窗口中版本名称是否含 【Professional、Enterprise 或 Education】。
按下 Ctrl + Shift + Esc 打开任务管理器 → 切换至「性能」选项卡 → 左侧点击「CPU」→ 查看右侧「虚拟化」状态是否为“已启用”。
仍在同一界面，左侧点击「内存」→ 向下滚动确认「已启用虚拟机平台」是否显示为“是”。若为“否”，需进入 BIOS/UEFI 开启虚拟化并手动启用该组件。
若「虚拟化」显示已禁用：重启电脑，在开机自检阶段反复按 Del、F2 或 Esc（依主板品牌而定）进入 BIOS/UEFI → 定位到 Advanced → CPU Configuration（Intel）或 Security → SVM Mode（AMD）→ 将对应选项设为 Enabled → 保存退出 → 重启后再次验证两项状态。
通过图形界面启用 Windows Sandbox
这是最稳定、兼容性最佳的方式，系统会自动勾选并安装全部必需依赖项，无需手动干预底层服务关系。
按下 Win + R 键，输入 optionalfeatures.exe 并回车，打开「Windows 功能」窗口。
向下滚动，勾选 【Windows 沙盒】 复选框；此时系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」——【请勿取消勾选】，否则沙盒无法启动。
点击「确定」，等待安装完成；进度条结束后弹出提示框，点击「立即重新启动」。
使用 PowerShell（管理员）强制部署（含家庭版绕过方案）
方法一：标准版用户快速补全依赖（推荐用于图形界面启用失败时）
右键点击开始按钮 → 选择「终端（管理员）」→ 在 UAC 提示中点「是」→ 输入以下命令并回车：
Enable-WindowsOptionalFeature -Online -FeatureName Containers-DisposableClientVM -All
等待执行完成，提示重启时输入 Y 并回车。
方法二：家庭版用户解锁沙盒（需提前确认虚拟化已启用）
以管理员身份运行 PowerShell → 依次执行以下三条命令（每条执行完再输下一条）：
1、dism /online /Enable-Feature /FeatureName:Containers-DisposableClientVM /All /NoRestart
2、dism /online /Enable-Feature /FeatureName:Microsoft-Windows-Sandbox /All /NoRestart
3、shutdown /r /t 0（立即重启，确保服务注册生效）
注意：此方式不依赖 optionalfeatures 图形界面，但要求系统镜像中存在对应功能包（Windows 11 22H2 及更新版家庭版均内置）。
配置沙盒隔离强度（关键防护步骤）
默认沙盒允许网络访问，高危文件可能借此外连 C2 服务器或上传数据。必须禁用网络才能实现真正隔离。
用记事本新建一个文本文件，粘贴以下内容：
<Configuration><MappedFolders></MappedFolders><Networking>Disable</Networking></Configuration>
将文件另存为 【secure.wsb】，编码选 UTF-8，扩展名必须为 .wsb。
双击该文件即可启动一个完全断网的沙盒环境——此时桌面右下角不会出现网络图标，CMD 中执行 ping 命令会提示“请求超时”或“找不到主机”。
把高危 EXE 文件直接拖入该沙盒窗口内运行，测试完毕直接关闭窗口，所有痕迹即时销毁。
