Windows日志分析--rdp远程登录、暴破

一、准备工作

1.两台虚拟机

1台Windows10虚拟机，开启远程桌面登录权限

1台kali虚拟机，作为rdp暴破攻击方

2. 如何开启Windows10远程登录权限

点击左下角 开始-设置-系统-远程桌面，点击启用远程桌面

3.准备密码本

username.txt 和 password.txt ，这里为了能快速的暴破出来，可以使用小一点的密码本

二、RDP远程登录暴破

1.使用kali中自带的工具进行暴破

注意：一定要保证两台虚拟机可以ping通，否则就是瞎忙活啦

这里ip自然就是Windows的ip地址了

rdp 服务器通常不喜欢很多连接，使用 -t 1 或 -t 4 来减少并行连接的数量，使用 -W 1 或 -W 3 在连接之间等待以允许服务器恢复

hydra ip -L username.txt -P password.txt -V -t 1 -W 1 rdp://ip

这里可以看到暴破成功的用户名密码

三、查看Windows日志

Win+R，输入eventvwr.msc，查看日志，可以使用4624,4625分别筛选出登录成功和登录失败的日志

这样查看会比较乱，最好使用工具来进行查看

这里推荐两个工具：

1.evtxLogparse

这个工具需要先将日志导出，再分析，命令格式如下：

evtxLogparse -r success/fail (1.evtx)日志名  #筛选rdp登录成功或失败的日志
evtxLogparse -s success/fail (1.evtx)日志名  #筛选smb登录成功或失败的日志

2.Logfusion

可视化界面，用着很舒服，就是导入的时候比较慢，右上角Filter可以进行关键词筛选