RDP日志溯源教程

1.查看登陆过本机的IP

1.1打开事件事件日志

我的电脑 -> 右键 -> 管理 -> 事件查看器。

1.2找到RDP连接日志

应用程序和服务日志 -> Microsoft -> Windows -> TerminalServices-RemoteConnectionManager

选中Operational，右边就出现了RDP的日志信息，点击操作窗口筛选当前日志，填入事件ID号1149，就能看到所有RDP登陆过当前主机的IP，这样就能溯源出黑客的跳板机了。

2.查看本机登陆过的IP

打开注册表，打开此路径：HKCU\Software\Microsoft\Terminal Server Client。

选中Default可以看到连接过的IP。

选中Servers -> [IP]可以查看登陆名。