**1. 干什么** 持久化位置包括服务、任务计划、Run/RunOnce 注册表键与启动文件夹四类，分别由 SCM、任务调度器、登录进程与资源管理器管理。 **2. 谁在调** * 用户态主体：sc.exe、schtasks.exe、reg.exe、资源管理器。 * 系统层封装：OpenSCManager/CreateService、ITaskService COM 接口、RegSetValueEx。 * 服务主体：services.exe（SCM）、Schedule 任务调度服务。 **3. 做什么业务** 服务由 SCM 统一拉起控制，登记信息（可执行路径、启动类型、运行身份）写于 Services 注册表键。sc create 经 OpenSCManager、CreateService 请 SCM 登记，net start 走同一 RPC 通道。任务计划按时间、登录或事件触发，定义存于`C:\Windows\System32\Tasks`与注册表，schtasks 经 ITaskService 与调度器对话。Run/RunOnce 由登录进程读取执行，启动文件