* 起点：已取得管理员 / SYSTEM * 关键步：计划任务、注册表 Run 键两类原生自启位置（只讲机制与审计） * 终点：开机 / 登录自启长期可控 * 最终定级：高危（依附已取得管理员）。未取得管理员不成立 > 限定：只讲计划任务与注册表自启键的原理与审计点，不写规避 Defender、文件隐藏或免杀手段。 ### 一、业务背景 Windows 管理员可通过计划任务与注册表 Run 键实现开机或登录自启，二者是系统原生自启机制。风险在于未授权新增任务与自启键。本节讲位置与审计，不教驻留实现。 ### 二、系统拓扑 * 计划任务：按触发条件执行的任务定义。 * 注册表 Run 键：登录时自动执行的注册项。 * 信任边界：自启位置只应经变更流程登记。 ### 三、角色与账号 * 管理员 / SYSTEM：可写自启位置。 ### 四、攻击起点 取得管理员后，审计计划任务与 Run 键是否出现未知项。 发现顺序： * 列出计划任务，对照已知合法任务。 * 检查当前用户与系统级 Run 键。 ### 五、核心漏洞点清单 1. 未知计划