技术干货 | RDP登录相关

admin 2021年11月1日09:23:50评论171 views字数 1792阅读5分58秒阅读模式

本公众号发布的文章均转载自互联网或经作者投稿授权的原创,文末已注明出处,其内容和图片版权归原网站或作者本人所有,并不代表安世加的观点,若有无意侵权或转载不当之处请联系我们处理,谢谢合作!


欢迎各位添加微信号:asj-jacky

加入安世加 交流群 和大佬们一起交流安全技术

目录

查询和修改RDP状态

RDP开放端口

RDP历史登录凭据

事件ID(Event ID)&事件类型(Event Type)

RDP登录成功历史日志

RDP登录失败历史日志


查询和修改RDP状态

首先肯定就需要判断RDP是否开启了。我们通过注册表“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal Server”的fDenyTSConnections值判断RDP是否开启。

技术干货 | RDP登录相关


  • 如果 fDenyTSConnections 项的值为 0,则表明已启用 RDP。
  • 如果 fDenyTSConnections 项的值为 1,则表明已禁用 RDP。

我们可以使用CheckRdpStatus.ps1脚本查询RDP的状态

Import-Module .CheckRdpStatus.ps1CheckRdpStatus

技术干货 | RDP登录相关


我们可以使用命令开启或关闭RDP状态,但是以下命令会被杀毒软件拦截

开启RDP服务:REG ADD HKLMSYSTEMCurrentControlSetControlTerminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
关闭RDP服务REG ADD HKLMSYSTEMCurrentControlSetControlTerminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000001 /f

或者也可以使用RegfDenyTSConnections.ps1脚本开启或关闭RDP状态,通过powershell脚本开启或关闭RDP,不会被杀毒软件拦截

开启RDP服务:Import-Module RegfDenyTSConnections.ps1RegfDenyTSConnections 0
关闭RDP服务:Import-Module RegfDenyTSConnections.ps1RegfDenyTSConnections 1

技术干货 | RDP登录相关

RDP开放端口

RDP默认端口为3389,但是,在很多情况下,运维人员会将RDP端口修改为其他端口。那么,我们就需要知道RDP修改后的真正端口了。

可以通过执行以下命令查询

tasklist /svc | findstr TermService   #查找RDP进程的PIDnetstat -ano  | findstr 上一步查询到的PID  #过滤上一步的PID,查找出对应的端口


也可以使用RegRdpPort.ps1脚本查询

Import-Module .RegRdpPort.ps1RegRdpPort

技术干货 | RDP登录相关

RDP历史登录凭据

传送门:获取RDP登录凭据

                https://xie1997.blog.csdn.net/article/details/107068706

RDP登录成功历史日志

这里登录成功是指其他机器登录该机器成功登录的日志。

管理工具——>事件查看器

技术干货 | RDP登录相关


Windows日志——>安全 ,右边查看事件ID为4624的是登录成功的日志

技术干货 | RDP登录相关


技术干货 | RDP登录相关


我们可以执行命令查询

wevtutil qe security /q:"*[EventData[Data[@Name='LogonType']='10'] and System[(EventID=4624)]]" /f:text /rd:true /c:10

技术干货 | RDP登录相关


也可以使用EventLogSuccess.ps1脚本查询

Import-Module .EventLogSuccess.ps1EventLogSucces

技术干货 | RDP登录相关

RDP登录失败历史日志

这里登录失败是指其他机器尝试RDP登录该机器,但是登录失败的日志。

事件ID为4625的是登录失败的日志


我们可以使用EventLogFailed.ps1脚本进行查询。当同一时刻,有很多登录失败的日志,说明存在爆破RDP的情况。

Import-Module .EventLogFailed.ps1EventLogFailed

技术干货 | RDP登录相关

关于RDP相关的功能我已经集成在CS插件中,如下:

技术干货 | RDP登录相关

技术干货 | RDP登录相关


本文始发于微信公众号(安世加):技术干货 | RDP登录相关

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年11月1日09:23:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   技术干货 | RDP登录相关http://cn-sec.com/archives/514538.html

发表评论

匿名网友 填写信息