powershell 登录 rdp_无来源IP的RDP爆破防御对策小记

最新推荐文章于 2024-03-18 11:08:29 发布
最新推荐文章于 2024-03-18 11:08:29 发布
阅读量751 收藏 3
点赞数
文章标签： powershell 登录 rdp rdp连接工具

好久不见(～￣▽￣)～，水文啦，主要是记录~~

前言

本是风和日丽的一天，闲得无聊，鬼使神差的打开了windows的事件查看器。

诶！我不是换了rdp(远程桌面连接)的默认端口了吗，竟然还这么多登录日志，得~ 换端口果然是自欺欺人的事情。

被爆破了。再仔细一看事件中竟然没有记录ip。那么，开搞吧。640?wx_fmt=png

安全事件分析

先说下我的环境Windows Server 2012 R2，除了更换了3389的端口以外，没有做任何安全配置。

其实第一眼，看到日志，我本以为是SMB(445)，NETBIOS(135,139)这些服务的锅，因为安全日志的事件ID为4625和4776。

前者的LogonProcessName为NtLmSsp

后者PackageName为MICROSOFT_AUTHENTICATION_PACKAGE_V1_0。

通过上面两个关键词，查到许多NtLm攻击相关的文章(后面发现其实和这个没关系...)

我就先从SMB安全配置入手(绝招是直接关闭SMB，简单方便，读者可不做下面的操作。但我想探究这次的攻击究竟是怎样的)。

关闭漏洞满天飞的SMBv1

1、检查SMBv1状态的方法：

在Powershell中运行命令：

Get-SmbServerConfiguration | Select EnableSMB1Protocol

如果打印“Ture”，则说明SMBv1为开启状态。

2、关闭SMBv1的方法

在power shell中运行命令：

Set-SmbServerConfiguration -EnableSMB1Protocol $false

更多参考信息见微软文档[1]

启用SMB签名

又因Freebuf的一篇Windows SMB请求重放攻击分析[2]，我决定再启用SMB签名。

将注册表项RequireSecuritySignature设置为 1 可以启用 SMB 签名。

可用powershell执行

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" RequireSecureNegotiate -Value 1 –Force

通过策略组配置NTLM相关安全选项

对本地组策略->计算机配置->Windows设置->安全设置->安全选项中一些配置进行了修改。例如:

  1. 网络安全: 限制 NTLM: 审核传入 NTLM 流量 设置为 为所有帐户启用审核
  2. 网络访问: 不允许匿名枚举 SAM 帐户 设置为启用

上述设置，我也不是非常清楚。这里就不展开了。

注意： 错误的修改，可能会导致自身无法连接到服务器。

具体可看这篇文章保护内网安全之提高Windows AD安全性

爆破依旧

进行上述的修改后，安全事件日志还是哗啦啦的警告~ಠ_ಠ

然后我一查看云服务器的安全组，我其实根本都没有开放445，139这类的端口。

然后我注意到了在应用程序与服务日志中的Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational事件日志。

640?wx_fmt=png

将信息级别的日志筛除后，得到了上图的结果。

嗐！原来还是RDP爆破啊。并且有来源IP了，来，继续。

RDP爆破防御

640?wx_fmt=png

简单有效-策略组限制

通过上图大佬的总结，我优先使用了策略组进行配置 - 账户锁定策略。

这个配置也比较简单。运行打开gpedit.msc，参考下图配置即可。

640?wx_fmt=png

但是配置后，即使等了一段时间后还是有大量的不同IP在进行爆破尝试。让我甚至一度怀疑这里的IP都是通过什么漏洞伪造的。

并且因为使用了云服务商的安全组策略，为避免多余的麻烦

没有开启windows防火墙，所以可能无法成功拦截？所以我只好继续~

Wail2ban

Wail2ban，linux有个很好用的工具，叫做fail2ban

wail2ban算是它的windows版本，做的事情大致相同，从日志(事件)匹配并提取ip，进行封禁。

使用方式参考:Windows Server Wail2ban and Folder Sharing not working together - Error 4625 no IP[3]

使用还是比较简单的。

  1. 按照上面的介绍，需要在wail2ban.ps1增加为$EventTypes增加一个事件

    即修改

    $EventTypes = "Application,Security,System,Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational"

    $CHECK_COUNT用来控制尝试次数，默认为5

  2. 然后在wail2ban_config.ini中添加

    [Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational]140=RDP Logins139=RDP Logins With Tls1.0

    最后的139事件在后面会用到。

  3. 开启windows防火墙

    注意开启防火墙时，如果不是默认3389的默认端口的话

    需要手动添加入站规则。

**配置好后的效果如下: **

640?wx_fmt=png

这样一目了然的发现，还真的都是不一样的IP。

(并且似乎开启防火墙后，策略组的配置也生效了)

数据包分析

其实到此为止已经差不多了

但是我想肯定还是服务器有什么地方配置的脆弱了，才会受到此次攻击。

我就想看看对方的RDP爆破和我正常的RDP连接有什么区别~

恩，Wireshark安装！

因为用到了TLS层，我后面甚至还做了解密(不做也可以)。

实现方式见如何使用Wireshark解密Windows远程桌面(RDP)协议[4]

我的捕获过滤器是 port 端口号

显示过滤器为not ip.addr eq 本机ip

爆破数据包：640?wx_fmt=png

正常登陆数据包：640?wx_fmt=png

可以看到他协议用的是Tlsv1, 而我自身使用的是Tlsv1.2。

Tls 1.0也不少问题，那么简单了，赶紧禁用Tls1.0吧。

禁用TLS1.0

  1. 策略组强制使用TLS(不好使)

    在策略组 计算机配置 \windows 组件 \ 远程桌面服务桌面会话安全中设置远程 (RDP) 连接要求使用特定的安全层为 TLS1.0。

    你可能很疑惑...说好的不用1.0了，怎么你还强制1.0了。

    这个好像是微软的显示错误T_T，不过经我测试，的确也不好使...

    情况说明见微软文档[5]

  2. 通过注册表禁用Tls1.0

    HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.0\Server

    项中新建一个名为Enabled的DWORD，值设置为0。

    为了避免不必要的麻烦，设置好后我进行了重启。

效果

禁用TLS1.0后，再去查看事件

发现已经由原先的140事件，变为了139事件

描述为服务器安全层在协议流中检测到一个错误(0x80090304)，并中断了客户端连接(客户端 IP:45.145.64.5)。

攻击方的一次尝试也不能成功了！

wail2ban也可以继续开着，并且做一些配置，防御更多的爆破事件。

最后我也照猫画虎的来一次威胁情报IOC

下面的ip是本次攻击事件中出现的

193.106.30.234, 185.202.1.110, 113.65.153.144, 222.187.245.198, 202.146.219.27, 47.107.182.101, 43.248.186.80, 112.25.212.219, 111.40.223.9, 113.62.177.19, 185.202.1.105, 118.180.214.5, 37.71.141.162, 193.165.191.59, 45.145.67.173, 185.202.1.106, 185.202.1.113, 45.145.64.5, 185.202.1.103, 185.202.1.111, 106.52.138.52, 185.202.1.107, 193.106.29.82, 60.10.62.235, 121.151.155.170, 45.145.66.157, 185.202.1.148, 219.139.151.18, 223.78.106.25, 183.110.79.147, 58.120.225.117, 60.6.224.242, 185.202.1.109, 185.202.0.117, 117.146.37.90, 176.96.82.182, 220.179.227.205, 118.163.153.6, 60.167.165.166, 89.248.168.221, 58.120.225.122, 112.175.114.17, 218.6.9.84, 61.180.90.12, 223.99.164.133, 185.202.1.100, 185.202.1.96, 111.9.153.42, 60.22.91.240, 106.52.170.87, 185.202.1.104, 113.12.64.58, 36.99.161.37, 211.47.236.220, 185.202.1.102, 175.16.218.50, 180.168.74.70, 87.251.75.176, 222.178.239.184, 124.116.171.30, 142.11.249.99, 195.54.160.99

参考链接

Windows 2016 服务器安全配置和加固[6]

windows 系统简单加固[7]

参考资料

[1]

微软文档: https://docs.microsoft.com/zh-cn/windows-server/storage/file-server/troubleshoot/detect-enable-and-disable-smbv1-v2-v3

[2]

Windows SMB请求重放攻击分析: https://www.freebuf.com/articles/system/176206.html

[3]

Windows Server Wail2ban and Folder Sharing not working together - Error 4625 no IP: https://serverfault.com/questions/822206/windows-server-wail2ban-and-folder-sharing-not-working-together-error-4625-no

[4]

如何使用Wireshark解密Windows远程桌面(RDP)协议: https://forum.90sec.com/t/topic/552

[5]

微软文档: https://support.microsoft.com/zh-cn/help/3097192/incorrect-tls-is-displayed-when-you-use-rdp-with-ssl-encryption

[6]

Windows 2016 服务器安全配置和加固: https://www.javatang.com/archives/2018/11/13/33232615.html#139Netbios4455355LLMNR

[7]

windows 系统简单加固: https://www.jianshu.com/p/103a9f3177e5

weixin_39939601
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
PowerShell_Setup_x86.rar
08-18
PowerShell_Setup_x86.rar,打包下载，难以寻找的系统补丁，要安装vs2008的用户必须安装它
通过Powershell开启RDP
apple2025262的博客
05-08 403
1) Enable Remote Desktop set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -name "fDenyTSConnections" -Value 0 2) Allow incoming RDP on firewall Enable-NetFire...
powershell 登录 rdp_RDP登录日志取证和清除
weixin_39998903的博客
11-27 1195
点击上方“蓝字”关注公众号获取最新信息!本文作者：whoam1@奇安信首发地址：https://paper.seebug.org/1043这篇文章由Cream朋友whoam1@奇安信授权发布，在此表示感谢，关于其他方面的文章或者技术可以浏览whoam1的博客！后期我们也会持续更新WEB安全系列课程(从小白到“入狱”)，0.0，希望多多关注支持。公众号可以搜索：贝塔安全实验室，谢谢，Cre...
RDP爆破
HeLLo_a119的博客
03-18 179
线程默认是50，如果担心影响业务可以修改为5。第五步：选择需要检查的服务。工具：超级弱口令检查工具。第一步：双击打开工具。
rdp加固策略 防止暴力破解
u014551778的博客
06-18 977
rdp加固
远程桌面一直被人爆破的解决思路
Qwertyuiop2016的博客
11-17 5861
某天远程自己的电脑发现登不上了，错误信息如下：开始也没在意，后面出现了好几次才反应过来。查看了Windows日志发现一直有人在尝试登录这台电脑，因为3389端口已经映射到了公网IP。
3D建模光看书就能学会的话，你和其他同行拼的是什么？
3D游戏建模零基础入门教程-次世代角色场景教学
12-11 232
近两年，动漫游戏行业发展的越发红火，刚刚过去的一年，不管是动漫行业还是游戏行业都交出了令人满意的答卷，动漫电影票房轻松过亿，电视动画精品佳作层出不穷，游戏行业销售收入创下历史新高，预计未来5-10年，动漫游戏行业还将保持如此旺盛的发展势头。 但是随着动漫游戏行业的快速发展，动漫游戏研发人才也日益的紧缺，尤其是动漫游戏建模师更是异常的匮乏，各大动漫游戏公司为了争夺人才也是使出了浑身解数，或者是高薪利诱或者是各种超高福利待遇，所以动漫游戏建模师的就业前景很好，并且发展前景光明，收入高，是黄金职业。 学3D
RDP_ShadowSession:DRP Shadow会话GUI工具
03-19
RDP_ShadowSession RDP影子会话GUI工具
PowerShell_LangRef_v4.pdf.zip_powershell
09-24
PowerShell Examples for common usage scenarios
解析取证图像的工具_PowerShell_代码_下载
06-15
自动下载和提取 Eric Zimmerman 工具的 PowerShell 脚本 例子 最简单的方法是右键单击并选择“使用 PowerShell 运行”。工具将保存到默认位置：C:\Forensic Program Files\Zimmerman 使用 -outDir 参数指定保存...
powershell_interview_prep:使用PowerShell解决的样本面试问题
03-25
powershell_interview_prep:使用PowerShell解决的样本面试问题
从RDP爆破定位内部攻击者
03-22 4684
一台没有发布任何服务到公网的服务器，却有大量的账户登录失败记录，咋一看实在有点让人费解。我们需要做的就是，从繁杂的现象中，拔丝抽茧找到有价值的信息，进一步定位攻击来源，从根源上解决攻击问题...
infrared-remote-candroid studiodemo
05-05
android studio下载
【新质生产力】新质生产力赋能智能制造数字化解决方案.pptx
05-05
【新质生产力】新质生产力赋能智能制造数字化解决方案.pptx
基于matlab实现的用于应用布格重力异常数据反演地下异常密度体.rar
05-05
基于matlab实现的用于应用布格重力异常数据反演地下异常密度体.rar
node-v8.10.0-linux-x64.tar.xz
最新发布
05-05
Node.js，简称Node，是一个开源且跨平台的JavaScript运行时环境，它允许在浏览器外运行JavaScript代码。Node.js于2009年由Ryan Dahl创立，旨在创建高性能的Web服务器和网络应用程序。它基于Google Chrome的V8 JavaScript引擎，可以在Windows、Linux、Unix、Mac OS X等操作系统上运行。 Node.js的特点之一是事件驱动和非阻塞I/O模型，这使得它非常适合处理大量并发连接，从而在构建实时应用程序如在线游戏、聊天应用以及实时通讯服务时表现卓越。此外，Node.js使用了模块化的架构，通过npm（Node package manager，Node包管理器）,社区成员可以共享和复用代码，极大地促进了Node.js生态系统的发展和扩张。 Node.js不仅用于服务器端开发。随着技术的发展，它也被用于构建工具链、开发桌面应用程序、物联网设备等。Node.js能够处理文件系统、操作数据库、处理网络请求等，因此，开发者可以用JavaScript编写全栈应用程序，这一点大大提高了开发效率和便捷性。 在实践中，许多大型企业和组织已经采用Node.js作为其Web应用程序的开发平台，如Netflix、PayPal和Walmart等。它们利用Node.js提高了应用性能，简化了开发流程，并且能更快地响应市场需求。
基于Yolov5目标检测和deepsort目标跟踪无人机跟踪.zip
05-05
无人机最强算法源码，易于部署和学习交流使用
数据库课程设计实战.zip
05-05
数据库课程设计后端 使用Springboot + Mybatis + Redis + Maven 数据库课程设计实战.zip，使用到了所有的相关SQL 的操作，如增删改查等，让你可以在一个项目里面，锻炼到所有的数据库相关的知识。项目亲测可以运行，里面含有运行相关的文档，不会的可以丝我请求帮助。 数据库课程设计后端 使用Springboot + Mybatis + Redis + Maven 具体的表和相关的数据如下： 用户（电话号码，密码，身份证号，邮箱，真实姓名，用户类型，性别，地址） 乘客（用户电话号码，乘客身份证号，乘客真实姓名，乘客电话号码，乘客类型，地址） 列车信息（列车编号，车次，列车类型，列车车厢数，列车始发站，列车终点站，列车开车时间，列车到达时间，列车到达日期，列车运行时间，列车状态） 列车座位信息（列车编号，车厢号，座位类型，座位数） 列车经停信息（列车编号，车次，车站编号，车站名，到达时间，总运行时间，开车时间） 订单信息（订单编号，用户电话号码，乘客身份证号码，列车编号，出发站编号，到达站编号，车厢号，座位编号，订单创建时间，订单状态，开车时间）
powershell_shortcut_miniconda
08-20
根据引用和引用，powershell_shortcut_miniconda是指使用miniconda来创建一个powershell快捷方式。Miniconda是一个轻量级的Anaconda版本，可以用来创建和管理虚拟环境以及安装Python和其他软件包。要创建powershell_shortcut_miniconda，你需要按照以下步骤进行操作： 1. 首先，从conda官网下载并安装Miniconda。 2. 安装完成后，打开powershell终端。 3. 使用以下命令创建一个新的虚拟环境： ``` conda create -n 虚拟环境名称 python=3.6 ``` 在这个命令中，你可以指定任何Python版本，从2.7到3.10都可以。 4. 创建成功后，使用以下命令激活虚拟环境： ``` conda activate 虚拟环境名称 ``` 5. 现在你可以在powershell中使用所创建的虚拟环境了。你可以安装所需的Python包，执行Python代码等。 注意：powershell_shortcut_miniconda是一个自定义的名称，你可以根据自己的需求来命名。 希望这个回答能够帮到你！如果还有其他问题，请随时提问。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [【入门基础】conda+jupyter玩转数据科学环境搭建](https://blog.csdn.net/fengdu78/article/details/105337419)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] - *2* [Miniconda安装指南（通过虚拟环境管理多版本Python）](https://blog.csdn.net/LILI00000/article/details/124415516)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值