第二步：先做人工可控的低风险动作

如果检测方只检查 USB 外设⭐登记，重点是资产与权限；如果检测方使用 EDR 或终端管控，重点则是输入链路💫、进程行为和日志关联。没有先确定检测范围，直接追求“通过”，很容易把正常测试误做成规避安全控制。

小黄鸭设备开始测试前，测试人员应先确认授权对⚡象、时间范围、目标终端、允许动作和停止条件。

小黄鸭测试结束后，应删除测试文件、撤销临时账💯户、恢🎯复临时策略，并检查是否产生计划任务、启动项、网络连接或权限变化。恢复动作也需要写入测试记录，避免把实验残留误留在设备中。

不同实际应用场景的处理重点

小黄鸭的实际应用场景不同，检测目标和允许的测试深度也不同，不能把课堂演示中的操作直接复制到企业网络。