Windows 11安全中心已移除全盘离线扫描图形入口，需通过管理员CMD执行MpCmdRun.exe -Scan -ScanType 3并立即重启，方可在预启动环境执行深度脱机查杀，否则降级为普通扫描。
Windows 11安全中心默认不提供“全盘离线深度脱机查杀”的手动触发入口，因为微软已将该能力从图形界面移除，仅保留后台自动调度逻辑；强行调用需绕过UI层，直接激活Windows Defender的离线扫描引擎（MpCmdRun.exe），且必须满足【系统处于锁屏或登录前阶段】这一不可协商前提——否则扫描将降级为普通实时扫描，无法清除启动项、驱动层和系统核心进程中的顽固威胁。
准备离线扫描环境
按Win+R打开运行框，输入shutdown /r /o /t 0并回车。这会立即重启电脑并强制进入“高级启动选项”菜单，而非常规Windows加载流程。
重启后出现蓝色菜单，依次选择“疑难解答→高级选项→启动设置→重启”。电脑再次重启后，会出现带编号的启动模式列表，按键盘数字键【6】启用“启用带网络连接的安全模式”，此步骤非必需但可验证系统基础服务是否正常——若卡在黑屏/蓝屏，则说明当前系统已存在严重引导层感染，离线扫描将失败。
调用MpCmdRun执行离线扫描
回到桌面后，以管理员身份运行CMD或PowerShell。
输入命令：cd /d "%ProgramFiles%\Windows Defender"，回车切换到Defender主目录。
执行离线扫描指令：MpCmdRun.exe -Scan -ScanType 3。注意：-ScanType 3代表“完全离线扫描”，它会自动创建临时启动环境、挂起所有用户态进程、卸载第三方杀软驱动，并在下次开机时接管引导链——这个过程无法中断，也不显示进度条，终端只会返回“Operation succeeded”即表示任务已提交。
【关键提醒】执行该命令后必须立刻重启，否则扫描不会启动；若重启前又进行了其他操作（如安装软件、更新驱动），系统可能取消待命状态，需重新执行命令。
确认扫描真实生效
重启后观察屏幕左下角：若出现灰色背景+白色文字的“Microsoft Defender Offline scanning”界面，且右上角显示倒计时（通常15～45分钟），说明离线扫描已接管系统，正在逐扇区读取磁盘原始数据。
扫描结束后系统自动重启进入Windows，此时打开“Windows安全中心→病毒和威胁防护→扫描历史记录”，查找类型为“Microsoft Defender Offline scan”的条目，其状态必须是“已完成”且“检测到威胁数＞0”才证明本次扫描真实执行了深度脱机查杀——如果只显示“未检测到威胁”，不代表安全，极可能是恶意软件已篡改MpCmdRun签名验证机制，需使用离线PE环境重刷系统镜像。
