用windows防火墙可彻底断网指定软件：先建出站阻止规则拦截主动联网，再补入站阻止规则防被动监听，支持图形界面或命令行操作，还可批量禁用整个目录下所有.exe文件，最后通过资源监视器验证生效。
你想让某个软件彻底断网，比如微信后台偷偷上传数据、搜狗输入法频繁联网验证、或者某款游戏启动时自动检查更新，又不想卸载它——直接用 Windows 自带防火墙创建程序级拦截规则，不装第三方工具，规则生效后连本地回环请求都一并掐断。
图形界面创建出站阻止规则（最常用）
这一步拦住软件主动往外发的所有包，是阻断联网的第一道也是最关键的防线。
按下 Win + R，输入 wf.msc 回车，打开高级安全 Windows 防火墙管理控制台。
左侧点击 出站规则，右侧点击 新建规则… 启动向导。
选择 程序 → 点击下一步 → 选中 此程序路径 → 点击浏览，精确定位到目标软件的主执行文件（例如 C:\Program Files\Tencent\WeChat\WeChat.exe），确认后点下一步。
操作页必须选 阻止连接，这是唯一有效选项；选“允许连接”或“连接时询问”都会失效。
配置文件页【务必勾选域、专用、公用全部三项】，漏掉任意一项，软件在公司内网、家用Wi-Fi或公共热点下仍可能连上。
名称栏填个一眼能认出的名，比如 禁微信外连_出站，描述可写“阻止WeChat.exe发起所有TCP/UDP外连”，点完成。
同步添加入站阻止规则（防被动通信）
有些软件不主动上网，但会开一个端口蹲着等别人来连——比如盗版激活服务、远程调试接口、P2P同步模块。只设出站规则，这类行为照样跑得欢。
方法一：图形界面补全
回到同一控制台，左侧点 入站规则，右侧点 新建规则… → 向导中仍选 程序 → 浏览路径必须和刚才出站规则完全一致（不能选错.exe，也不能选子进程如WeChatUpdater.exe）→ 操作页仍选阻止连接 → 配置文件页同样全选三项 → 名称建议填禁微信监听_入站 → 完成。
方法二：命令行一键补全（适合怕点错的人）
以管理员身份运行 PowerShell，执行这行命令：
netsh advfirewall firewall add rule name="禁微信监听_入站" dir=in action=block program="C:\Program Files\Tencent\WeChat\WeChat.exe" enable=yes profile=any
注意：命令里 dir=in 表示入站，profile=any 等效于勾选全部网络类型，比图形界面少点三下鼠标。
批量禁用整个软件目录（含所有.exe）
某些软件安装后散落多个可执行文件，比如 Adobe CC 套件、VMware Workstation 或老版本迅雷，手动逐个加规则太累——用批处理脚本一次性扫光整个文件夹。
第一步：新建记事本，粘贴以下代码：
@Echo Off
SetLocal
:begin
echo:
echo ****** 批量禁用文件夹内所有exe联网 ******
echo:
set /p folder=请输入软件安装根目录（如C:\Program Files\XXSoft）:
If Not Exist "%folder%\" echo 路径不存在，退出 & Exit/B
For /R "%folder%" %%a In (*.exe) Do (
netsh advfirewall firewall add rule name="BLOCK_%%~nxa" dir=out action=block program="%%a" enable=yes profile=any >nul 2>&1
netsh advfirewall firewall add rule name="BLOCK_%%~nxa_IN" dir=in action=block program="%%a" enable=yes profile=any >nul 2>&1
)
echo 已处理完成：%folder% 下所有 .exe 文件均被双向拦截。
echo ----------------------------
goto begin
第二步：另存为 ban_folder.bat，编码选 ANSI（不是UTF-8，否则中文路径会乱码）。
第三步：右键该bat文件 → 以管理员身份运行 → 输入目标软件根目录（例如 C:\Program Files\SogouInput）→ 回车。
脚本会自动遍历该目录及所有子文件夹，为每个 .exe 创建独立的入站+出站双规则，命名带文件名便于后期排查。
验证规则是否生效
打开任务管理器 → 切换到“性能”选项卡 → 点击左下角“打开资源监视器” → 切换到“网络”页签 → 在“监听端口”列表里找目标软件进程名，如果没有任何端口显示为“监听”状态，说明入站已生效；再看“TCP 连接”列表，若该进程名下所有连接状态均为“关闭”或压根不出现，则出站也已拦截成功。
最后一步：重启目标软件，尝试发送消息、刷新界面、触发更新提示——所有网络动作应立即失败，无任何超时等待。
