| 用途 | 任务级持久化复核 |
|---|---|
| 位置 | System32/Tasks 与事件 4698 系列 |
清单
清单
schtasks /query /fo LIST /v | Select-String -Pattern 'TaskName|Task To Run|Run As User' -Context 0,0
Get-ChildItem C:/Windows/System32/Tasks -Recurse | Select-Object FullName, LastWriteTimeXML 的 LastWriteTime 与 4698 时间对照，识别后被篡改。