浮雲雅築: [研究]遠端桌面連線發現帳號被鎖

2026年4月24日星期五

[研究]遠端桌面連線發現帳號被鎖

[研究]遠端桌面連線發現帳號被鎖

2025-04-23

環境：Visual Studio 2022 + ASP.NET + WebForm + Web Application + C# + SQL Server 2019 + SQL Server Management Studio (SSMS) 20.2

********************************************************************************

查事件檢視器


Windows PowerShell
著作權（C） Microsoft Corporation。保留擁有權利。

安裝最新的 PowerShell 以取得新功能和改進功能！https://aka.ms/PSWindows

PS C:\WINDOWS\system32> cd\
PS C:\> Get-EventLog -LogName Security -InstanceId 4625 -Newest 50 |
>> Where-Object { $_.ReplacementStrings[5] -eq "administrator" } |
>> Select-Object TimeGenerated, ReplacementStrings

TimeGenerated           ReplacementStrings
-------------           ------------------
2026/4/23 上午 06:23:09 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:22:08 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:21:48 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:21:11 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:21:07 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:20:06 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:19:05 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:18:02 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:07:53 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:06:52 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:05:58 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:05:53 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:04:57 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:04:52 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:03:58 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:02:57 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:01:57 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 06:00:55 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:50:02 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:48:03 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:47:03 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:46:01 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:45:01 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:44:04 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:44:02 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:43:22 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:42:20 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:42:13 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:31:13 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:30:22 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:29:19 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:28:18 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:27:18 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:27:09 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:26:16 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:25:13 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:24:31 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:24:19 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:14:13 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:13:13 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:12:12 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:11:13 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:10:13 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:09:12 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:08:15 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:07:37 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:07:23 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 05:06:22 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 04:55:24 {S-1-0-0, -, -, 0x0...}
2026/4/23 上午 04:54:24 {S-1-0-0, -, -, 0x0...}


PS C:\>

查事件檢視器


Get-EventLog -LogName Security -InstanceId 4625 -Newest 50 |
Where-Object { $_.ReplacementStrings[5] -eq "administrator" } |
ForEach-Object { 
    $_.TimeGenerated
    $_.ReplacementStrings | ForEach-Object { Write-Output $_ }
    ""
}

結果


2026年4月23日 上午 06:25:10
S-1-0-0
-
-
0x0
S-1-0-0
ADMINISTRATOR
-
0xc000006d
%%2313
0xc000006a
3
NtLmSsp
NTLM
-
-
-
0
0x0
-
103.4.92.103
0

索引	值	說明
0	S-1-0-0	登入帳號的 SID（Security Identifier），這裡是預設或未知 SID）
1	-	登入帳號名稱（域帳號或電腦名稱，空表示本地）
2	-	域（空）
3	0x0	登入 ID（Logon ID）
4	S-1-0-0	認證 SID（通常和帳號 SID 一樣）
5	ADMINISTRATOR	目標帳號名稱（你查詢的帳號）
6	-	目標帳號域
7	0xc000006d	登入失敗原因代碼（STATUS_LOGON_FAILURE = 用戶名或密碼錯誤）
8	%%2313	描述錯誤的符號化代碼，對應登入失敗
9	0xc000006a	失敗的密碼錯誤（STATUS_WRONG_PASSWORD）
10	3	登入類型（3 = 網路登入 / 網路共享）
11	NtLmSsp	驗證提供者（NTLM）
12	NTLM	驗證協議
13-16	-	本地工作站、進程名稱等（空）
17	0	本地網域控制器代碼
18	0x0	其他保留
19	-	驗證套件（空）
20	103.4.92.103	來源 IP，攻擊者或失敗登入來源）
21	0	其他保留

關鍵資訊

帳號：ADMINISTRATOR
失敗原因：0xc000006d + 0xc000006a → 密碼錯誤
登入類型：3 → 網路登入（可能是 SMB、RDP 或網路資源）
來源 IP：103.4.92.103 → 登入來源（可用於追蹤攻擊者）
事件時間：2026/4/23 上午 06:25:10

用Whois去查來源IP

https://www.whois365.com/tw/#google_vignette

查到

IP 位址 : 103.4.92.103
PTR : khi.isra.edu.pk
IP 位置 : 巴基斯坦巴基斯坦的旗幟

********************************************************************************

啟用被鎖住的帳號


C:\Windows\System32>net user administrator /active:yes
命令已經成功完成。

(完)

相關

浮雲雅築

2026年4月24日星期五

[研究]遠端桌面連線發現帳號被鎖

沒有留言:

張貼留言

2026年4月24日 星期五

[研究]遠端桌面連線發現帳號被鎖

沒有留言:

張貼留言

2026年4月24日星期五