RDP登录相关

目录

查询和修改RDP状态

RDP开放端口

RDP历史登录凭据

事件ID(Event ID)&事件类型(Event Type)

RDP登录成功历史日志

RDP登录失败历史日志

查询和修改RDP状态

首先肯定就需要判断RDP是否开启了。我们通过注册表“HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server”的 fDenyTSConnections 值判断RDP是否开启。

• 如果 fDenyTSConnections 项的值为 0 ，则表明已启用 RDP。
• 如果 fDenyTSConnections 项的值为 1 ，则表明已禁用 RDP。

我们可以使用CheckRdpStatus.ps1脚本查询RDP的状态

Import-Module .\CheckRdpStatus.ps1
CheckRdpStatus

我们可以使用命令开启或关闭RDP状态，但是以下命令会被杀毒软件拦截

开启RDP服务：
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
关闭RDP服务
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000001 /f

或者也可以使用RegfDenyTSConnections.ps1脚本开启或关闭RDP状态，通过powershell脚本开启或关闭RDP，不会被杀毒软件拦截

开启RDP服务：
Import-Module RegfDenyTSConnections.ps1
RegfDenyTSConnections 0
关闭RDP服务：
Import-Module RegfDenyTSConnections.ps1
RegfDenyTSConnections 1

RDP开放端口

RDP默认端口为3389，但是，在很多情况下，运维人员会将RDP端口修改为其他端口。那么，我们就需要知道RDP修改后的真正端口了。

可以通过执行以下命令查询

tasklist /svc | findstr TermService   #查找RDP进程的PID
netstat -ano  | findstr 上一步查询到的PID  #过滤上一步的PID，查找出对应的端口

也可以使用RegRdpPort.ps1脚本查询

Import-Module .\RegRdpPort.ps1
RegRdpPort

RDP历史登录凭据