必须启用windows sandbox并配置.wsb文件禁用网络：需专业版/企业版/教育版，开启cpu虚拟化与“虚拟机平台”，通过optionalfeatures.exe启用沙盒，再创建含disable的.wsb文件实现离线安装测试。
您需要在 Windows 11 中运行来源不明的安装包，又担心它偷偷写入系统目录、篡改注册表或静默联网回传数据，必须启用真正能切断这些行为的安装级沙盒防护机制，而不是仅靠杀毒软件扫描文件哈希。
确认系统与硬件前提条件
Windows Sandbox 功能无法绕过底层限制，缺一不可：必须是专业版/企业版/教育版，CPU 虚拟化已开启，且“虚拟机平台”组件处于启用状态。任一缺失都会导致后续所有操作失败并报错“功能不可用”。
按 Win + R 键，输入 winver 并回车，核对窗口中显示的版本名称是否含 Professional、Enterprise 或 Education。
按 Ctrl + Shift + Esc 打开任务管理器 → 切换至「性能」选项卡 → 点击左侧「CPU」→ 查看右侧「虚拟化」状态是否为“已启用”；若为“已禁用”，需立即重启进入 BIOS/UEFI 关闭 Secure Boot 并开启 Intel VT-x 或 AMD-V。
仍在同一界面点击左侧「内存」→ 向下滚动确认「已启用虚拟机平台」显示为“是”；若为“否”，仅开启虚拟化不够，必须进 BIOS 再检查并启用“Virtual Machine Platform”或“VMP”相关选项。
通过图形界面启用 Windows Sandbox
这是最稳妥的启用方式，系统会自动校验依赖项并强制勾选全部必需组件，避免手动遗漏导致沙盒启动失败。
按 Win + R 键，输入 optionalfeatures.exe 并回车，打开「Windows 功能」窗口。
向下滚动找到「Windows 沙盒」，勾选其复选框；此时系统将自动勾选「虚拟机平台」和「Windows Hypervisor Platform」——请勿取消勾选，否则沙盒无法初始化。
点击「确定」→ 等待安装进度完成 → 出现提示后点击「立即重新启动」。
配置 AppContainer 容器化执行控制
该策略不依赖虚拟化，所有 Windows 11 版本均可启用，专用于限制已签名 Win32 安装程序（如 MSI、带微软认证的 EXE）的运行权限，防止其读取文档、枚举进程或调用驱动接口。
方法一：启用应用执行控制
按下 Win + I 打开设置 → 左侧点击「隐私和安全性」→ 右侧点击「Windows 安全中心」→ 点击「应用与浏览器控制」→ 滚动到「基于声誉的保护」区域 → 点击「应用执行控制设置」→ 将开关切换为「开」。
方法二：强制启用受控文件夹访问
在「应用与浏览器控制」页面 → 点击「管理受控文件夹访问」→ 确保开关为「开」；【此步必须开启，否则 AppContainer 对用户目录的写入拦截将失效】
创建自定义 .wsb 配置文件禁用网络
默认沙盒允许联网，这会让恶意安装包在隔离环境中仍能外连 C2 服务器。通过 .wsb 文件可硬性切断网络，实现真正离线安装测试。
第一步：用记事本新建一个纯文本文件，内容如下：
第二步：将文件保存为 offline-sandbox.wsb，注意编码必须为 UTF-8 无 BOM，扩展名必须是 .wsb。
第三步：双击该 .wsb 文件即可启动一个完全断网、且只读挂载指定文件夹的沙盒环境。
