RDP登录相关

目录

查询和修改RDP状态

RDP开放端口

RDP历史登录凭据

事件ID(Event ID)&事件类型(Event Type)

RDP登录成功历史日志

RDP登录失败历史日志

查询和修改RDP状态

首先肯定就需要判断RDP是否开启了。我们通过注册表“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server”的fDenyTSConnections值判断RDP是否开启。

• 如果 fDenyTSConnections 项的值为 0，则表明已启用 RDP。
• 如果 fDenyTSConnections 项的值为 1，则表明已禁用 RDP。

我们可以使用CheckRdpStatus.ps1脚本查询RDP的状态

Import-Module .\CheckRdpStatus.ps1
CheckRdpStatus

我们可以使用命令开启或关闭RDP状态，但是以下命令会被杀毒软件拦截

开启RDP服务：
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

关闭RDP服务
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000001 /f

或者也可以使用RegfDenyTSConnections.ps1脚本开启或关闭RDP状态，通过powershell脚本开启或关闭RDP，不会被杀毒软件拦截

开启RDP服务：
Import-Module RegfDenyTSConnections.ps1
RegfDenyTSConnections 0

关闭RDP服务：
Import-Module RegfDenyTSConnections.ps1
RegfDenyTSConnections 1

RDP开放端口

RDP默认端口为3389，但是，在很多情况下，运维人员会将RDP端口修改为其他端口。那么，我们就需要知道RDP修改后的真正端口了。

可以通过执行以下命令查询

tasklist /svc | findstr TermService   #查找RDP进程的PID
netstat -ano  | findstr 上一步查询到的PID  #过滤上一步的PID，查找出对应的端口

也可以使用RegRdpPort.ps1脚本查询

Import-Module .\RegRdpPort.ps1
RegRdpPort

RDP历史登录凭据

传送门：获取RDP登录凭据

https://xie1997.blog.csdn.net/article/details/107068706

RDP登录成功历史日志

这里登录成功是指其他机器登录该机器成功登录的日志。

管理工具——>事件查看器

Windows日志——>安全 ，右边查看事件ID为4624的是登录成功的日志

我们可以执行命令查询

wevtutil qe security /q:"*[EventData[Data[@Name='LogonType']='10'] and System[(EventID=4624)]]" /f:text /rd:true /c:10

也可以使用EventLogSuccess.ps1脚本查询

Import-Module .\EventLogSuccess.ps1
EventLogSucces

RDP登录失败历史日志

这里登录失败是指其他机器尝试RDP登录该机器，但是登录失败的日志。

事件ID为4625的是登录失败的日志

我们可以使用EventLogFailed.ps1脚本进行查询。当同一时刻，有很多登录失败的日志，说明存在爆破RDP的情况。

Import-Module .\EventLogFailed.ps1
EventLogFailed

关于RDP相关的功能我已经集成在CS插件中，如下：