**1. 干什么** 授权行动撤回后，排查沿常驻位、hive 拷贝、登录事件、执行事件四类位置取证，每一环对应一个内核对象或服务记录。 **2. 谁在调** * 用户态主体：蓝队排查脚本与工具。 * 系统层封装：reg、sc、schtasks、wevtutil、文件枚举 API。 * 服务 / 内核主体：SCM、调度器、eventlog、配置管理器、NTFS 驱动。 **3. 做什么业务** 先列 Run 键、服务、计划任务、启动文件夹对照基线。再查 Security 日志登录类型分布与 1102 清除记录。随后检查 Web 目录 ADS、异常 ACL 与 MFT 时间线，核对 Run 键写入时间。最后判断 SAM 与 SYSTEM hive 是否被离线拷贝。执行环节由 4688 进程创建与 4104 脚本块交叉印证。 **4. 组件清单** * 四类常驻位基线 * SAM/SYSTEM hive 访问痕迹 * 4624/4625/1102 登录与清除记录 * 4688/4104 执行记录 * ADS/ACL/MFT 时间线 **5. 最小可运行**