如何记录服务器远程登录ip

 

确认有没有人从网络登入 Windows 的简单方法是查询事件视图器的安全性事件，事件标识符 4624 是登入成功记录、4625 是登入失败，事件详细数据会包含登入账号、来源 IP 等信息，若发现可疑再深入追查：
(提醒：这种检查方式只能揭露用 Windows 验证试图登入主机的行为，像是远程登入、连上网络磁盘机... 等，但不包含透过木马、后门程式创建的网络连接)

不过呢，身为大内攻城狮，这种例行检查还一笔一笔点开来看成何体统？当然要土炮小工具自用才帅气。

早年我曾写过 WPF 版，不过 EXE 档分享转发较困难，这些年学会新兵器，就来翻写成 PowerShell 版吧! 使用时只需拷贝粘贴存成 ListLogonEvent.ps1 档，程序码直接摊在阳光下(也顺便请大家 Code Review)，没有夹带木马或病毒的风险。在计算机上开个 【Windows PowerShell (系统管理员)】(如下图) 或 Cmder (推荐!) 即可执行，想到就健检一下，有机会提早抓出潜伏的歹咪呀，希望对提升全人类资安能有丁点贡献。

PowerShell 有个 Get-WinEvent 指令可以查询 Windows 事件，依实务经验，将所有事件记录抓回来用 PowerShell 筛选的效率很差，用 -FilterHashtable 或 -FilterXPath 查询，FilterHashtable 只支持简单的比对，XPath 语法较难懂但能实现复杂一点的查询条件，会是较好的选择。

Windows Event Log 支持的 XPath 版本只到 1.0，能用的函式少得可怜，别期望它像 SQL WHERE。如果不知从何开始，可以用事件视图器的筛选工具设好条件，再参考它产生的 XML。参考

我设了几项条件：

• EventID = 4624 (登入成功) 或 4625 (登入失败)
• 只显示特定日期之后的记录，要用 TimeCreated[timediff(@SystemTime) ⇐ 距现在的毫秒数] 这种特殊写法
• 由于我要锁定来自网络的存取，故要排除 EventData 中的 IpAddress 为 -、::1、127.0.0.1 的事件

程序码很简单，大约五十行搞定，最后将结果输出成以 Tab 分隔的 CSV：

Param (
    # 查询区间之起始时间(缺省最近30天)
    [DateTime]$start = (Get-Date).AddDays(-30)
)
$wp = [Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()
if (-Not $wp.IsInRole([Security.Principal.WindowsBuiltInRole]"Administrator")) {
	Write-Host "*** 请使用系统管理员权限执行 ***" -ForegroundColor Red
	return
}
# 登入类别对照表
$LogonTypeTexts = @(
    'NA','NA',
    'Interactive', #2
    'Network','Batch','Service','NA','Unlock','NetworkClearText',
    'NewCredentials','RemoteInteractive','CachedInteractive'
)
# 计算起始时间距今的毫秒数
$timeDiff = (New-TimeSpan -Start $start -End (Get-Date)).TotalMilliseconds
# 限定 4624(登入成功)、4625(登入失败)
$xpath = @"
*[  
    System[
        (EventID=4624 or EventID=4625) and
        TimeCreated[timediff(`@SystemTime) <= $timeDiff]
    ] and 
    EventData[
        Data[@Name='IpAddress'] != '-' and
        Data[@Name='IpAddress'] != '::1' and
        Data[@Name='IpAddress'] != '127.0.0.1'
    ]
]
"@
# 加上 SilentlyContinue 防止查无数据时喷错 No events were found that match the specified selection criteria.
Get-WinEvent -LogName 'Security' -FilterXPath $xpath -ErrorAction SilentlyContinue | ForEach-Object {
    $xml = [xml]$_.ToXml() # 将事件记录转成 XML
    $d = @{} # 创建 Hashtable 放 EventData.Data 中的客制属性
    @($xml.Event.EventData.Data) | ForEach-Object {
        $d[$_.name] = $_.'#text'
    }
    if ($_.ID -eq 4624) { $action = '登入成功'  }
    elseif ($_.ID -eq 4625) { $action = '登入失败' }
    $logonType = ''
    if ($d.LogonType -gt 1) {
        $logonType = $LogonTypeTexts[$d.LogonType]
    }
    [PSCustomObject]@{
        Action = $action;
        Time = $_.TimeCreated.ToString("yyyy/MM/dd HH:mm:ss");
        Id = $_.ID;
        TargetAccount = "$($d.TargetDomainName)\$($d.TargetUserName)"; # 登入账号
        Socket = "$($d['IpAddress']):$($d['IpPort'])"; # IP 来源
        LogonType = $logonType; # 登入类别
        LogonProcess = $d.LogonProcessName; # 程序名称
        AuthPkgName = $d.AuthenticationPackageName; # 验证模块
    }
} | ConvertTo-Csv -Delimiter "`t" -NoTypeInformation

我仿真了从另一台机器 192.168.50.93 登入集成式验证 ASP.NET 网站 登入成功、失败及网络磁盘机失败的状况，查询结果如下：
(提醒：需使用系统管理员权限执行)

纯文本不好阅读，建议用 .\ListLoginEvents.ps1 > D:\Check.csv 存成 CSV 档再用 Excel 开启。

22 列红字是登入 IIS 失败，21 列绿字是登入 IIS 成功；蓝字是试图连上 \\My-PC\d$ 时 Windows 用当下登入账号 tony 试图自动登入失败的记录，两笔紫色是故意打错帐密产生的失败记录。

大家可以用它检查自己的 Windows，看看是否有人曾试图登入你的计算机、连上你的网络分享文件夹。

 https://blog.darkthread.net/blog/ps-list-logon-events/