在parallels desktop中为运行中的windows/linux虚拟机创建快照是防御勒索软件等风险的最直接手段；需满足开机状态、parallels tools正常运行且未启用undo disks；推荐命名格式为clean-$(date +%y%m%d-%h%m)，或用prlctl命令一键创建；中毒后关闭虚拟机，通过“管理快照”恢复指定clean快照并删除后续分支，3–8秒即可还原全状态。
在Parallels Desktop中为正在运行的Windows或Linux虚拟机创建一个可立即回滚的快照，是应对勒索软件、误删系统文件或驱动崩溃最直接的防御手段——它不依赖外置备份盘，恢复只需几秒，且能精确还原到中毒前的内存、磁盘、注册表全状态。
确认虚拟机满足快照前提
快照功能不是“点一下就生效”，必须同时满足三个条件：虚拟机处于【开机运行状态】（不能是关机或挂起），已安装并正在运行Parallels Tools（右下角菜单栏有Parallels图标且无感叹号），虚拟机配置中未启用“Undo Disks”模式（该模式会禁用快照）。
若不确定Tools是否正常：在虚拟机内打开终端（Linux）或命令提示符（Windows），执行prlctl list -a；若返回包含running和tools: running，说明一切就绪。
一键创建带时间戳的快照（推荐手动触发）
这一步操作起来很简单，直接点击菜单栏即可完成，但命名必须规范才能后续快速识别：
点击Parallels Desktop顶部菜单栏 → “虚拟机” → “管理快照” → 点击左下角“新建”按钮 → 在名称框中输入：【clean-$(date +%Y%m%d-%H%M)】（例如 clean-20261001-0805）→ 点击“确定”。
注意：不要手输日期，务必用$(date +%Y%m%d-%H%M)生成动态时间戳——这样未来在快照列表里一眼就能看出这是“今天上午8点05分的干净状态”，避免和测试快照、旧快照混淆。Parallels不会自动帮你加前缀，漏掉clean-会导致恢复时无法快速定位。
用终端命令实现真正“一键”（适合高频操作）
如果你每天都要进虚拟机调试、下载不明软件或访问高危网站，手动点四次太慢，可用以下单行命令替代：
打开Mac终端，粘贴执行：prlctl snapshot "Windows 11" "auto-clean-$(date +%Y%m%d-%H%M)" --description "pre-infection baseline"（把"Windows 11"替换成你虚拟机的实际名称，名称需与Parallels主界面列表中完全一致，含空格和大小写）。
这条命令会立刻为指定虚拟机创建快照，无需切换窗口、无需鼠标操作。它比图形界面更快，且自动附加描述，方便日后用prlctl snapshot-list "Windows 11"查看时确认用途。
执行后若返回Snapshot created successfully即完成，快照已存入虚拟机.pvm包内部，无需额外保存路径。
中毒后秒级恢复操作
第一步：立即关闭虚拟机 → 不要重启、不要尝试杀毒、不要保存当前状态。
第二步：在Parallels主界面选中该虚拟机 → 点击“虚拟机” → “管理快照” → 在左侧快照树中找到你命名的clean-20261001-0805节点 → 右键 → “恢复”。
第三步：勾选【删除此快照之后的所有快照】（防止残留中毒状态分支）→ 点击“恢复”。整个过程通常耗时3–8秒，恢复完成后直接点击“启动”即可回到中毒前的完整桌面环境。
