| 清单 | schtasks /query /fo LIST /v |
|---|---|
| PowerShell | Get-ScheduledTask 加 Actions |
| 重点 | 非系统路径动作、登录与日志循环触发 |
| 隐藏 | 任务可被设为隐藏属性 |
枚举任务与动作
枚举任务与动作
Get-ScheduledTask | Where-Object {$_.State -ne 'Disabled'} | Select-Object TaskName,TaskPath | Sort-Object TaskPath | Select-Object -First 40
(Get-ScheduledTask -TaskName 'SuspiciousTask').Actions
schtasks /query /tn '\SuspiciousTask' /fo LIST /v任务动作里的 PowerShell 编码命令是高危信号：先 schtasks /query /xml 导出留证。