windows远程桌面端口链接(RDP)防暴力破解小工具

文章来源：迅恒数据中心2024-11-02 17:36:59浏览次数：

机房服务器每天都有大量的暴力破解攻击来自远程桌面端口。因为工作原因又不能关闭远程桌面服务RDP(mstsc)，如何防范攻击？
首先要确定是否被攻击：打开控制面板-Windows工具-事件查看器-Windows日志-安全
查看是否有大量事件ID为4625的日志，关键字是审核失败，代表有大量攻击者尝试远程登陆本机。
下面是一些初步的防范机制：
1.修改3389端口或外网映射端口：刚发现被暴力破解的时候可以临时用一下，可以暂停对方的攻击，但是治标不治本，对方的攻击脚本隔一段时间会再次扫描所有端口以发现最新的远程桌面登陆端口。
2.修改windows账户用户名：这个效果还是可以的，攻击者基本都是尝试administrator账户名和admin等常用账户名发起攻击,如果是服务器,换用户名也比较麻烦,就算换名字,黑客也会提前收集一些常见名称,及网络上抓取到的网名来做字典尝试暴力破解。一般将administrator超级用户名改为中文名更可靠。
3.网关，防火墙设备上做IP限制等规则：如果你每次都是固定IP去远程连接主机，添加白名单/建立ALC规则,这是最简单的办法,但是缺点就是有时候在外面需要换IP,或者用手机连一连那就不行.
4.勤打补丁:这个办法也是亡羊补牢,黑客的嗅觉永远比你打补丁要快.对付一些老旧的已知漏洞攻击而非暴力破解的漏洞比较管用.
5.安装ESET服务器版杀毒软件,自带的防火墙是有远程桌面端口攻击的防御规则，可以有效防御远程桌面端口被暴力破解。
6.修改安全策略: 修改安全策略,将账户策略-账户锁定策略启用,这个办法的确可以防止继续暴力破解,但是导致你自己也无法登陆服务器.
7.复杂密码:这个只是拖延了对方破解的时间,除非密码非常的变态,你自己都记不住.一个强密码可以至少抵御几天的攻击不被暴力破解,也不是长久之计.
8.最后就是根据攻击者IP做阻止策略:这个比较方便和安全,一旦发现一个IP尝试暴力破解,就禁止这个IP再连接服务器,这样再多的攻击也不怕.
详细方法：
建立一个文本文档,写入一下内容后保存为blockIP.txt, 然后将后缀名txt修改为: ps1

# 使用 Get-WinEvent 检索事件日志，找到登录失败的日志(ID=4625)，提取其中的远程IP地址,将这个地址写入到防火墙阻止规则内
# 设置控制台输出编码为 GB2312 或 GBK
$OutputEncoding = [Console]::OutputEncoding = [System.Text.Encoding]::GetEncoding("GB2312")
# 定义日志名称和事件ID
$logName = "Security" # 安全日志
$eventID = 4625 # 登录失败的事件ID

# 定义时间范围
$startTime = (Get-Date).AddDays(-1) # 从一天前开始
$endTime = Get-Date # 到现在

# $startTime = Get-Date "2024-06-23 00:00:00" # 自定义一个开始时间
# $endTime = Get-Date "2024-06-24 00:00:00" #自定义一个结束时间

# 检索指定时间范围内的事件日志条目
$filter = @{
    LogName   = $logName
    ID        = $eventID
    StartTime = $startTime
    EndTime   = $endTime
}
# 使用MaxEvents来设置最大日志读取条数,Oldest按事件写入的顺序输出事件，从最早到最新
$events = Get-WinEvent -FilterHashtable $filter -MaxEvents 100 -Oldest

foreach ($event in $events) {
    $message = $event.Message
    # 显示完全日志内容,用于调试
    # Write-Output "完全日志内容:"
    # Write-Output $message
    # Write-Output "----------------------------------------"
    # 使用正则匹配IP地址,这里由于Windows语言版本的不同,这样匹配成功率更高
    if ($message -match "(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})(?::(\d{1,5}))?") {
        $sourceAddress = $matches[1] # 匹配到IP地址
        if ($sourceAddress -eq "127.0.0.1") {
            # 如果是本地回环地址，则跳过后续操作
            # 如果是安全的,你已知的IP也可以加到这个步骤内
            Write-Output "IP Address is localhost (127.0.0.1). 跳过防火墙规则创建."
            Write-Output "----------------------------------------"
            continue
        }
        # 获取当前防火墙规则名称是否已经建立
        $existingRule = Get-NetFirewallRule -DisplayName "Block IP $sourceAddress" -ErrorAction SilentlyContinue
        if ($existingRule) {
            Write-Output "IP $sourceAddress 防火墙规则已存在,跳过创建."
        } else {
            # 创建防火墙规则禁止连接该IP地址
            New-NetFirewallRule -DisplayName "Block IP $sourceAddress" -Direction Inbound -Action Block -RemoteAddress $sourceAddress
            Write-Output "IP $sourceAddress 防火墙规则已新建"
        }
    } else {
        $sourceAddress = "N/A"
    }
    Write-Output $sourceAddress
}

接下来,以管理员身份右键"使用powershell运行"blockIP.ps1
执行后,进入控制面板-Windows Defender 防火墙-高级设置-入站规则:
可以看到建立好以BlockIP为名的IP阻断规则.
但是这个脚本有个不好的地方就是会将所以登录错误的IP列入进去
假如你自己仅仅只有登录一次错误也会被列入进去
所以脚本还需要改进比如达到5次以上登录错误才会提取IP到防火墙阻断规则中去。

上一篇>>查询软件需要依赖文件,查询exe文件执行的依赖dll,查询dll依赖文件下一篇>>Windows通用批量许可证密钥，Win2025 KMS激活密钥

迅恒运营的IDC数据中心机房介绍

机房名称	机房介绍	是否推荐
广州较场西路机房	中国电信5星级机房,华南骨干出口,广州市中心机房,交通便利,总带宽200G,为华南骨干出口。
广州人民中路机房	中国电信3星级机房,超高速的20Gx2主备双线路带宽直接接入ChinaNET骨干层。
广州天河科技园机房	天河软件园建中路4号,中国互联网应急中心机房,国家政府机关直属。多线接入骨干BGP线路。
电子商务部广州机房	天河软件建业路上(科韵路)的国际电子商务中心大厦甲级写字楼内,机房环境一流。多线接入骨干BGP线路。
广州电信加速器机房	位于广州市萝岗区开源大道1号企业加速器B1栋一楼,按照国际T3+及国标B+级标准建造，机房环境一流。多线接入骨干网。
广州移动旗锐机房	广州科学城南翔二路1号旗锐数字科技园区内，属于第三方私立机房,现由移动运营，从粤西汇聚节点直连CMNET骨干网。
广州移动南方基地机房	中国移动广州南方基地机房位于广州市天河软件园高塘大道333号,用于移动骨干网线路，是移动服务器托管优质机房。
东莞电信道滘机房	中国电信4星级机房,总带宽320G,可提供电信和多线BGP线路,华南骨干机房,稳定高速,性价比高。
东莞电信东城机房	中国电信4星级机房,总带宽320G,性价比高,可提供电信和多线BGP线路和200G集群硬件防火墙VIP防护。
东莞电信樟木头机房	中国电信4星级机房,总带宽320G,可提供电信和多线BGP线路和100G集群硬件防火墙企业级防护。
深圳互联港湾机房	深圳南山高新区中区软件大厦四楼，电信3星级机房，20G带宽接入骨干网络。
深圳南山科兴机房	位于深圳市南山区科技园科苑路15号科兴科学园，3星级机房，可提供双线接入等业务。
深圳百旺信机房	深圳市南山区西丽松白公路百旺信工业区A区(一区)一栋属于第三方机房，可提供双线接入等业务。
佛山电信信息大厦机房	佛山市汾江南路35号电信佛山分公司信息大厦8-9层,是中国电信3星级机房,可提供双线接入等业务。
中山电信火炬机房	机房位于中山市火炬区康乐大道47号电信3楼,是中国电信3星级机房,可提供双线接入等业务。
江苏徐州电信机房	机房位于江苏徐州市新城区镜泊东路4号,徐州市档案馆东侧，是中国电信3星级机房,可提供双线接入等业务。
江苏常州电信机房	机房位于江苏省常州市清凉路108号常州信息港，是中国电信4星级机房,可提供双线接入等业务。
香港TKO机房	机房靠近香港交易所的数据中心位置和香港商业中心，拥有PCCW、GTT、Cogent、Telia、TATA、CT、CN2、CU线路。
香港将军澳机房	机房在香港新界將軍澳工業邨駿昌街22號，与阿里云香港机房同属一栋楼，拥有多种线路接入。
香港新世界机房	香港新世界机房的海底电缆系统遍布全球，能直接连接多个国家，免备案，服务器租用、云服务器等业务。
香港NTT机房	香港NTT电讯机房，是一座专用数据中心，在香港大埔，免备案，提供服务器租用、VPS云服务器等业务。
美国洛杉矶机房	位于美国洛杉矶，直连全球，是全球带宽最集中的地方，是外贸企业首选，该机房只提供服务器租用业务。
美国加州DCS机房	位于美国加州，直连全球，是美国的华人机房，是外贸企业首选，该机房只提供服务器租用业务。
美国圣何塞机房	位于美国圣何塞，紧邻科技中心-硅谷，直连全球，是外贸企业首选，该机房只提供服务器租用业务。
韩国首尔KT机房	韩国首尔的江南区道谷洞数据中心，光纤直连电信(CN2)、移动、PCCW、NTT等网络核心骨干。
台湾中华电信机房	台湾中华电信机房位于台湾台北市114内湖区瑞光路68号3楼，是台湾对外最重要的电信枢纽之一。
菲律宾PLDT机房	菲律宾PLDT机房拥有PCCW、TATA、CT、CN2等线路接入，优化线路到中国大陆速度快，延迟低，网络稳定。

迅恒十多年IT企业和IDC运维经验为您提供优质服务

迅恒专注网站建设10多年，几十人技术团队，品质卓越，服务有保障！

云虚拟主机

¥99元/年起网站空间 原价：199元
- 广州/深圳/东莞/香港网站空间虚拟主机
- 支持ASP+PHP+NET2.0/3.5./4.x脚本
- 多线接入独享带宽速度快
- 国内主机协助备案香港主机免备案
- 支持FTP和数据库导入安全防御等功能
- 适用于个人或企业入门建站性价比高
- 在线客服虚拟主机>
独立物理服务器

¥488/月起物理机 原价：699元
- 广深莞/福建/湖南/西安/江苏/香港/国外主机
- 总带宽高达600G 多机房T级硬防秒解
- 多线接入独享带宽速度快互联互通
- 国内服务器协助备案,香港和境外主机免备案
- 独立物理服务器非虚拟的云服务器
- 适用于OA、财务软件、ERP、APP、游戏等
- 在线客服物理服务器>
网站建设

¥580起企业建站 原价：1999元起
- 企业建站公司网站建设续费170元/年
- 海量精美网站风格模板供您选择协助备案
- 赠送1700M高速网站主机不含域名
- 一年内免费维护(不含网站改版和内容更新)
- 免费上传20个产品设置10个栏目或分类
- 赠送一个简单logo和6个页面信息修改
- 在线客服客户案例>