1. 引言

Windows系統遠程桌面協議（RDP）長期以來一直是勒索軟件攻擊中最常見的初始攻擊向量。根據2020年Unit 42的《事件響應與數據泄露報告》，Unit 42對超過1000起安全事件的數據進行分析后發現，在50%的勒索軟件部署案例中，攻擊者首先通過RDP入侵系統。

而在2021年發布的《Cortex Xpanse攻擊面威脅報告》中，研究人員指出，RDP暴露在外的占比高達30%，幾乎是第二常見暴露向量的兩倍以上。這表明RDP暴露不僅為勒索攻擊打開了方便之門，也成為企業網絡安全防御中的重大隱患。

2. 典型案例

這是一個攻擊者通過暴力破解RDP安裝勒索軟件的案例（外網案例），這次被破解的系統并未使用默認的RDP端口。攻擊者在約17分鐘內完成了對兩臺設備（包括一臺域控制器）的勒索軟件安裝。

2.1 時間線

時間	操作
7:00	RDP登錄xxx.xxx.45.98
7:01	打開任務管理器（通常是為了查看其他誰已登錄）
7:03	投放并運行網絡掃描工具
7:08	通過RDP登錄域控制器（DC）
7:10	在域控制器上打開任務管理器
7:10	在域控制器上投放并運行網絡掃描工具
7:13	在域控制器桌面上投放Harma勒索軟件并運行
7:17	在入侵入口處投放Harma勒索軟件并運行

往期文章中我們也介紹了相關案例，通過對受害者運維機長期的RDP暴力破解后，成功登錄并橫向滲透控制獲取多臺服務器權限，最終一并實施加密，詳情可見【成功案例】RDP暴露引發的蝴蝶效應：LockBit組織利用MSF工具及永恒之藍漏洞進行勒索入侵

3. 場景還原

3.1 場景設置

本次模擬攻擊場景中，黑客首先利用空間測繪引擎進行信息收集，將檢測到開放RDP端口的IP地址匯總為TXT文件，并導入NLBrute工具進行密碼爆破，通過高效密碼字典對目標服務器進行暴力破解，成功獲取服務器權限。隨后，攻擊者使用網絡識別和密碼噴灑工具對內網環境進行深入信息收集，逐步橫向滲透，擴大受控機器的數量。最終，利用xfreerdp和mstsc工具實現RDP登錄，并對目標系統執行實時勒索加密，完成整個攻擊鏈的模擬。

3.2 攻擊路線圖

3.3 攻擊復現

黑客通過某資產測會引擎獲取互聯網開放3389端口的IP信息，導入文本中；
利用NLBrute工具，配置IP、賬號密碼信息后進行批量枚舉爆破，通過弱口令漏洞獲取服務器權限；
根據返回結果，成功登錄訪問IP；
而后黑客使用NetExec工具于內網進行密碼噴灑，橫向擴散，獲取更多機器權限；
黑客使用xfreerdp遠程桌面登陸服務器。

4. 工具介紹

工具名稱	md5	sha1
NLBrute	025c1c35c3198e6e3497d5dbf97ae81f	6d390038003c298c7ab8f2cbe35a50b07e096554
NetExec	50f4206bd36dc9b45c0af1229475da6e	fde496a0574d3cda03914113663bc7e14c485959
xfreerdp	637b54210304fbb4210c851a58351fe0	1309c431e046608dd6aa41f1d609050951038b02

4.1 RDP爆破工具：NLBrute

NLBrute 是一款主要用于爆破（Brute Force）遠程登錄服務賬號密碼的工具。

4.2 密碼噴灑工具：NetExec

NetExec 作為一款可執行遠程命令或進行批量管理的工具，通常需要提供遠程目標的“賬號”和“密碼”或其他憑據來實現對目標系統的遠程執行或管理操作。

4.3 RDP遠程連接工具：xfreerdp

xfreerdp 是開源項目 FreeRDP 提供的一個命令行客戶端工具，用于連接和使用 Microsoft RDP（Remote Desktop Protocol）服務。它通常運行在 Linux/Unix 系統（包括 macOS）上，為用戶在非 Windows 平臺上提供了對 Windows 遠程桌面的訪問能力。與圖形化的 RDP 客戶端相比，xfreerdp 采用命令行形式，具有一定的靈活性和可腳本化特點。

5. 漏洞詳情

5.1 漏洞名稱

RDP弱口令漏洞

5.2 漏洞類型

弱口令

5.3 漏洞描述

遠程桌面協議（RDP）默認使用3389端口監聽，成為攻擊者的主要目標之一。通過腳本掃描互聯網上暴露的3389端口，攻擊者利用RDP弱口令漏洞，通過暴力破解或社會工程學手段獲取登錄憑證。一旦成功入侵，他們可能植入后門以便后續訪問，或直接部署勒索軟件進行文件加密和系統鎖定。這種攻擊方式利用了弱密碼的安全缺陷，使暴露的RDP服務成為勒索軟件攻擊的高風險入口。

6. 應急響應排查

如果懷疑機器是通過RDP爆破入侵，可以通過查詢系統日志快速進行排查。具體方法是利用Windows自帶的系統日志功能，重點檢索與登錄活動相關的事件ID，通過分析登錄成功和失敗的日志記錄來定位異常。特別是，當檢測到短時間內大量連續的失敗登錄嘗試并伴隨成功登錄記錄時，需要警惕可能的暴力破解行為。此外，還可以結合登錄時間、來源IP地址等信息，進一步分析是否為非法入侵。

通過日志可以看到由大量的登錄失敗日志，事件ID4625

如果大量的4625后緊接著4624的事件ID，則極為可能攻擊者爆破成功。

在4624的事件ID日志中，可以看到攻擊者使用的IP。

7. 防范措施

更改RDP默認端口并不能阻止攻擊者，因為我們發現幾乎所有開放的端口都會被掃描尋找RDP協議。如果必須通過互聯網使用RDP，務必要禁用默認賬戶，并確保啟用了多因素認證（MFA）。即便如此，我們仍然建議采用更安全的解決方案，比如使用VPN，或通過支持MFA的前端工具（如VMware View或Citrix Workspace）進行訪問，以最大限度降低風險。

將RDP置于虛擬專用網絡（VPN）后面：通過VPN訪問RDP，增加一層安全防護。
啟用多因素認證（MFA）：為所有用戶賬戶啟用MFA，是防止憑證被盜引發風險的最佳方式。
堡壘機集中控制服務器：堡壘機能夠幫助企業集中管理服務器的訪問權限和賬號信息，從而更好地實現對服務器的統一管控與審計。通過堡壘機，管理員可以實時監控服務器狀態、審查日志、管理賬號授權，并在出現異常時及時采取措施。同時，堡壘機還能為企業提供統一的授權機制，實現對用戶訪問服務器的精細化控制。
定期更新密碼并實施強密碼策略：強制用戶每隔一定時間（如90天）更換密碼，避免長期使用同一密碼增加被破解的可能性。要求密碼長度至少8-12位，包含大小寫字母、數字和特殊字符。

在Windows域環境中，可以通過組策略（Group Policy）來強制用戶定期更換密碼。打開組策略管理控制臺；
選擇GPO并編輯；
在“組策略管理編輯器”中通過計算機配置 → Windows 設置 → 安全設置 → 帳戶策略 → 密碼策略，可設置密碼最長使用期限、密碼最短使用期限、最小密碼長度、啟用密碼必須符合復雜性要求；
配置完畢后，在client上運行gpupdate /force 用于刷新組策略。