技术干货 | RDP登录相关

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理，谢谢合作！

欢迎各位添加微信号：asj-jacky

加入安世加 交流群 和大佬们一起交流安全技术

目录

查询和修改RDP状态

RDP开放端口

RDP历史登录凭据

事件ID(Event ID)&事件类型(Event Type)

RDP登录成功历史日志

RDP登录失败历史日志

查询和修改RDP状态

首先肯定就需要判断RDP是否开启了。我们通过注册表“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal Server”的fDenyTSConnections值判断RDP是否开启。

• 如果 fDenyTSConnections 项的值为 0，则表明已启用 RDP。
• 如果 fDenyTSConnections 项的值为 1，则表明已禁用 RDP。

我们可以使用CheckRdpStatus.ps1脚本查询RDP的状态

Import-Module .CheckRdpStatus.ps1CheckRdpStatus

我们可以使用命令开启或关闭RDP状态，但是以下命令会被杀毒软件拦截

开启RDP服务：REG ADD HKLMSYSTEMCurrentControlSetControlTerminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
关闭RDP服务REG ADD HKLMSYSTEMCurrentControlSetControlTerminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000001 /f

或者也可以使用RegfDenyTSConnections.ps1脚本开启或关闭RDP状态，通过powershell脚本开启或关闭RDP，不会被杀毒软件拦截

开启RDP服务：Import-Module RegfDenyTSConnections.ps1RegfDenyTSConnections 0
关闭RDP服务：Import-Module RegfDenyTSConnections.ps1RegfDenyTSConnections 1

RDP开放端口

RDP默认端口为3389，但是，在很多情况下，运维人员会将RDP端口修改为其他端口。那么，我们就需要知道RDP修改后的真正端口了。

可以通过执行以下命令查询

tasklist /svc | findstr TermService   #查找RDP进程的PIDnetstat -ano  | findstr 上一步查询到的PID  #过滤上一步的PID，查找出对应的端口

也可以使用RegRdpPort.ps1脚本查询

Import-Module .RegRdpPort.ps1RegRdpPort

RDP历史登录凭据

传送门：获取RDP登录凭据

                https://xie1997.blog.csdn.net/article/details/107068706

RDP登录成功历史日志

这里登录成功是指其他机器登录该机器成功登录的日志。

管理工具——>事件查看器

Windows日志——>安全 ，右边查看事件ID为4624的是登录成功的日志

我们可以执行命令查询

wevtutil qe security /q:"*[EventData[Data[@Name='LogonType']='10'] and System[(EventID=4624)]]" /f:text /rd:true /c:10

也可以使用EventLogSuccess.ps1脚本查询

Import-Module .EventLogSuccess.ps1EventLogSucces

RDP登录失败历史日志

这里登录失败是指其他机器尝试RDP登录该机器，但是登录失败的日志。

事件ID为4625的是登录失败的日志

我们可以使用EventLogFailed.ps1脚本进行查询。当同一时刻，有很多登录失败的日志，说明存在爆破RDP的情况。

Import-Module .EventLogFailed.ps1EventLogFailed

关于RDP相关的功能我已经集成在CS插件中，如下：

本文始发于微信公众号（安世加）：技术干货 | RDP登录相关