ShadowScheduler

ShadowScheduler 是一个利用 Windows 未文档化 WP TaskScheduler RPC 接口实现隐蔽计划任务持久化的概念验证（PoC）工具。它通过直接调用 ncalrpc 协议下的私有接口 {33D84484-3626-47EE-8C6F-E7E98B113BE1} 创建任务，绕过标准枚举机制（如 schtasks、Get-ScheduledTask、任务计划程序 MMC、TaskCache 注册表及 System32\Tasks 目录），仅在 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\WP\TaskScheduler\Schedules 下留存痕迹。项目提供 raw_ndr64（无依赖、可作 shellcode）和 midl_poc（IDL 生成、便于分析）两种实现，适用于红队技术研究、APT 持久化机制复现及蓝队检测能力验证等安全对抗场景。