| 顺序 | 导出清单→禁用→删除→复验 |
|---|---|
| 位置 | Run 键（HKLM/HKCU/Wow6432Node）、计划任务、服务 |
| 易漏 | WMI 订阅与 IFEO 劫持 |
| 复验 | 对照计划任务与服务列表逐一确认 |
导出计划任务与 Run 键
导出计划任务与 Run 键
Get-ScheduledTask | Where-Object { $_.State -ne 'Disabled' } | Select-Object TaskName, TaskPath | Format-Table -AutoSize
schtasks /query /fo LIST /v | Select-String -Pattern 'TaskName|Task To Run' | Select-Object -First 40
Get-ItemProperty 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Run'先禁用后删除：禁用期间观察是否被重新拉起，可识别守护关系；删除前导出 XML/注册表留档。