不留痕迹地使用 RDP：MSTSC 公共模式

您是否想知道 MSTSC 中的“/public”命令行选项实际上有什么作用？它在 RDP 客户端中启用“公共模式”，该功能有点类似于 Web 浏览器中的“隐身模式”。此功能旨在用于“公共”或“共享”计算机，用户可能希望阻止凭据、会话详细信息和缓存图像在本地存储。

对于取证分析师来说，恶意攻击者在受感染系统上使用 MSTSC 留下的痕迹可能是信息金矿。以下是受 RDP 公共模式影响的所有功能的列表：

连接设置

您是否知道 mstsc 将连接设置保存到隐藏的 Default.rdp 文件中？启用公共模式后，mstsc 将不允许您将对连接设置的修改保存到该文件：

手动编辑它的最简单方法是从命令行启动记事本：notepad "~DocumentsDefault.rdp"。

凭证缓存

mstsc 使用 Windows 凭据管理器在本地保存凭据，以便在与同一服务器建立新连接时重复使用。公共模式禁用缓存凭据，因此即使本地有凭据，系统也会提示您输入凭据：

已保存的凭据使用“TERMSRV/”前缀，可以使用以下命令列出：

cmdkey /list | ? { $_ -Match "TERMSRV/" } | % { $_ -Replace ".*: " }

持久位图缓存

mstsc 留下的最值得注意的产物是持久位图缓存。在 RDP 中，服务器将桌面图像分解为位图片段，并将它们缓存在客户端上。当某个片段重复出现时，服务器会指示客户端重新使用缓存的版本，而不是重新发送。但是，只有在客户端存储了足够多的片段后，缓存才能提高性能。为了加快新连接的速度，持久位图缓存允许在会话之间保留位图。

虽然公共模式禁用此功能，但也可以使用BitmapCachePersistEnable:i:0.RDP 文件中的 单独禁用它。持久位图缓存将文件（bcache24.bmc、Cache0000.bin、Cache0001.bin 等）存储在 下%LOCALAPPDATA%MicrosoftTerminal Server ClientCache。虽然没有记录缓存格式，但您可以使用 BMC-Tools 提取其位图内容：

git clone <https://github.com/ANSSI-FR/bmc-tools> && cd bmc-toolspython .bmc-tools.py -s "$Env:LocalAppDataMicrosoftTerminal Server ClientCache" -d .

然后，您可以浏览以前远程桌面会话中的数千个位图片段：

请记住，位图缓存不是一种可靠的记录方法 - 它就像试图通过翻找回收站来重建碎纸文件一样。话虽如此，它仍然可以成为信息的宝库。

最近使用的服务器

Microsoft RDP 客户端可记住最多 10 个最近使用的 (MRU) 服务器，因此可以轻松地从下拉列表中选择服务器，而无需再次输入所有内容：

公共模式禁止更新存储在注册表中的服务器列表：

[HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault]"MRU0"="10.10.0.25""MRU1"="IT-HELP-TEST.ad.it-help.ninja""MRU2"="IT-HELP-DVLS.ad.it-help.ninja""MRU3"="IT-HELP-WAC.ad.it-help.ninja""MRU4"="IT-HELP-GW.ad.it-help.ninja"

[HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers10.10.0.25]"UsernameHint"="[email protected]""UsernameHint"="[email protected]"

[HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers10.10.0.25]"CertHash"=hex:13,fe,21,42,92,fc,6a,9d,ac,ea,a0,3d,b5,9b,59,c8,90,6f,37,b9,cc,"CertHash"=hex:13,fe,21,42,92,fc,6a,9d,ac,ea,a0,3d,b5,9b,59,c8,90,6f,37,b9,cc,31,08,9d,63,f7,4b,e7,c4,3b,77,f2

请注意，公共模式如何禁用“不再询问我是否连接到此计算机”复选框，但也禁用已保存的凭据使用。如果您为服务器添加安全例外，它将存储在下HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientLocalDevices，如下所示：

[HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientLocalDevices]"10.10.0.25"=dword:0000004d"10.10.0.25"=dword:0000004d

cmdkey /list | ? { $_ -Match "TERMSRV/" } | % { $_ -Replace ".*: " } | % { cmdkey /delete:$_ }Remove-Item -Path "$Env:LocalAppDataMicrosoftTerminal Server ClientCache" -Recurse -ErrorAction SilentlyContinueRemove-Item -Path "$Env:LocalAppDataMicrosoftTerminal Server ClientCache" -Recurse -ErrorAction SilentlyContinueRemove-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientDefault" -Force -ErrorAction SilentlyContinueRemove-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientServers" -Recurse -Force -ErrorAction SilentlyContinueRemove-Item -Path "HKCU:SoftwareMicrosoftTerminal Server ClientLocalDevices" -Recurse -Force -ErrorAction SilentlyContinue

使用 RDP 公共模式可以解决奇怪的问题，这些问题通常是由剩余保存的凭据和用户名提示引起的。虽然这种情况很少见，但损坏的持久位图缓存可能会导致 RDP 出现视觉故障。我建议在不知道问题可能是什么时尝试公共模式，但它可能与上面列出的功能之一有关。

原文始发于微信公众号（Ots安全）：不留痕迹地使用 RDP：MSTSC 公共模式