Windows XP 內建的遠程桌面（RDP）讓管理員足不出戶掌控全網電腦，卻也成駭客梦寐以求的「萬能後門」。端口 3389 一旦暴露，弱密碼、未打補丁、暴力破解、憑證偽造等攻擊接踵而至。本文深度解析 RDP 架構、配置流程，並給出個人與伺服器差異化防護方案。

遠程桌面架構速覽

• 雙重角色：每台 XP 電腦同時具備「客戶端」（mstsc.exe）與「服務端」（TermService）功能
• 客戶端支援：XP/2000/Me 均可安裝客戶端（XP 光盤 \setup.exe → 執行其他任務 → 設置遠程桌面連接）
• 協議細節：基於 RDP 協議，TCP 3389，支援 128 位 RC4 加密、智慧卡重定向、剪貼板/磁碟/印表機映射

服務端啟用全流程（圖文級詳解）

1. 右鍵「我的電腦」→「內容」→「遠程」頁籤
2. 勾選「允許用戶遠程連接到這台計算機」
3. 點擊「選擇遠程用戶」→「新增」→ 輸入允許連接的用戶名（管理員預設擁有權限，無需添加）
4. 確定保存，防火牆自動開放 3389 入站規則

客戶端連接實操

1. 「開始」→「所有程式」→「附屬應用程式」→「通訊」→「遠程桌面連接」
2. 點擊「選項」展開完整介面
3. 「一般」頁籤填入：目標 IP/主機名、用戶名、密碼（可勾選「允許我儲存密碼」）
4. 「顯示」頁籤調整解析度/色彩（低頻寬建議 15-bit 色、1024×768）
5. 「本地資源」頁籤配置聲音、鍵盤、磁碟機映射
6. 點擊「連接」，接受憑證警告（首次連接），即進入遠程桌面

斬斷黑手：分場景防護策略

個人用戶：一刀切禁用

「我的電腦→內容→遠程」取消勾選「允許遠程連接」
防火牆入站規則封鎖 TCP 3389
註冊表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server
fDenyTSConnections = 1 (REG_DWORD)

伺服器/管理機：最小化暴露 + 強化認證

1. 修改預設端口：註冊表 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber 改為 49152-65535 間隨機高位端口，防火牆同步放行新端口、封鎖 3389
2. 強制網路層級驗證 (NLA)：XP SP3/Server 2008+ 支援，連接前先驗證身份，大幅降低暴力破解成功率
3. 帳號鎖定策略：組策略 → 帳號鎖定閾值 5 次、鎖定時間 30 分鐘、重置計數器 30 分鐘
4. 跳板機/堡壘機：所有遠程運維必須經過堡壘機審計、錄像、雙因子認證，嚴禁直連生產伺服器
5. IP 白名單：防火牆/路由器僅允許管理網段/VPN 分配 IP 訪問 RDP 端口

應急排查清單

• 事件查看器 → 安全日誌：Event ID 4624（登入類型 10 = RDP）、4625（失敗）
• netstat -an | findstr :3389 檢查異常連接
• query session / qwinsta 查看活動會話
• 定期導出 RDP 相關註冊表備份，對比異常變更

遠程桌面是把雙刃劍：用得好是運維神器，管不好是駭客高速公路。能不用就不用，必須用就要「換端口、強認證、限來源、有審計」十六字方針落地執行。