RDP登录相关

  • A+
所属分类:安全文章

目录

查询和修改RDP状态

RDP开放端口

RDP历史登录凭据

事件ID(Event ID)&事件类型(Event Type)

RDP登录成功历史日志

RDP登录失败历史日志


查询和修改RDP状态

首先肯定就需要判断RDP是否开启了。我们通过注册表“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal Server”的fDenyTSConnections值判断RDP是否开启。

RDP登录相关


  • 如果 fDenyTSConnections 项的值为 0,则表明已启用 RDP。
  • 如果 fDenyTSConnections 项的值为 1,则表明已禁用 RDP。

我们可以使用CheckRdpStatus.ps1脚本查询RDP的状态

Import-Module .CheckRdpStatus.ps1CheckRdpStatus

RDP登录相关


我们可以使用命令开启或关闭RDP状态,但是以下命令会被杀毒软件拦截

开启RDP服务:REG ADD HKLMSYSTEMCurrentControlSetControlTerminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
关闭RDP服务REG ADD HKLMSYSTEMCurrentControlSetControlTerminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000001 /f

或者也可以使用RegfDenyTSConnections.ps1脚本开启或关闭RDP状态,通过powershell脚本开启或关闭RDP,不会被杀毒软件拦截

开启RDP服务:Import-Module RegfDenyTSConnections.ps1RegfDenyTSConnections 0
关闭RDP服务:Import-Module RegfDenyTSConnections.ps1RegfDenyTSConnections 1

RDP登录相关

RDP开放端口

RDP默认端口为3389,但是,在很多情况下,运维人员会将RDP端口修改为其他端口。那么,我们就需要知道RDP修改后的真正端口了。

可以通过执行以下命令查询

tasklist /svc | findstr TermService   #查找RDP进程的PIDnetstat -ano  | findstr 上一步查询到的PID  #过滤上一步的PID,查找出对应的端口


也可以使用RegRdpPort.ps1脚本查询

Import-Module .RegRdpPort.ps1RegRdpPort

RDP登录相关

RDP历史登录凭据

传送门:获取RDP登录凭据

                https://xie1997.blog.csdn.net/article/details/107068706

RDP登录成功历史日志

这里登录成功是指其他机器登录该机器成功登录的日志。

管理工具——>事件查看器

RDP登录相关


Windows日志——>安全 ,右边查看事件ID为4624的是登录成功的日志

RDP登录相关


RDP登录相关


我们可以执行命令查询

wevtutil qe security /q:"*[EventData[Data[@Name='LogonType']='10'] and System[(EventID=4624)]]" /f:text /rd:true /c:10

RDP登录相关


也可以使用EventLogSuccess.ps1脚本查询

Import-Module .EventLogSuccess.ps1EventLogSucces

RDP登录相关

RDP登录失败历史日志

这里登录失败是指其他机器尝试RDP登录该机器,但是登录失败的日志。

事件ID为4625的是登录失败的日志


我们可以使用EventLogFailed.ps1脚本进行查询。当同一时刻,有很多登录失败的日志,说明存在爆破RDP的情况。

Import-Module .EventLogFailed.ps1EventLogFailed

RDP登录相关

关于RDP相关的功能我已经集成在CS插件中,如下:

RDP登录相关

如果想跟我一起讨论,那快加入我的知识星球吧! 

RDP登录相关

本文始发于微信公众号(谢公子学安全):RDP登录相关

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: