背景

利用 3389 端口入侵後，預設無法像區域網路共享那樣直接複製貼上檔案。本文說明如何透過安裝微軟官方補丁包 (rdpclip.exe, fxfr.dll, rdpdr.dll) 啟用驅動器重導向功能。

伺服器端配置 (被控端)

1. 下載補丁包 (來源: sixvee.com 或微軟官方 rdpclip_hotfix)。
2. 複製 fxfr.dll 至 C:\WINNT\System32\。
3. 建立目錄 C:\WINNT\System32\rdpclip\，放入 rdpclip.exe。
4. 修改登錄表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\StartupPrograms，將 rdpclip 值改為 rdpclip\rdpclip.exe。
5. 重啟終端機服務或重開機。

客戶端配置 (控制端)

1. 複製 rdpdr.dll、fxfr.dll 至 C:\Program Files\Terminal Services Client\，覆蓋舊版。
2. 確保覆蓋過程中未使用終端機服務。

驗證與風險

• 連線後「我的電腦」將顯示本地磁碟機 (如 C on CLIENT)，可雙向複製貼上。
• 風險：攻擊者可輕鬆竊取伺服器敏感檔案、植入惡意程式、橫向移動。此配置本為管理便利，若被惡意利用後果嚴重。

防禦建議

1. 禁用驅動器重導向：群組原則 Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services → Remote Desktop Session Host → Device and Resource Redirection → Do not allow drive redirection 設為「已啟用」。
2. 限制 RDP 存取來源：防火牆/網路 ACL 僅允許管理堡壘機 IP 連接 3389。
3. 強制 NLA (網路層級驗證)：僅允許支援 NLA 的客戶端連線 (Win Vista/Server 2008 以上預設開啟)。
4. 帳號與審計：專用管理帳號、複雜密碼、MFA、登入事件 (4624 Type 10) 即時告警、錄影審計 (第三方堡壘機)。
5. 定期掃描 RDP 暴露面：Shodan/Censys/內部掃描器檢測對外開放 3389 的資產。

結語

驅動器重導向是雙面刃。合法管理需謹慎啟用並配合嚴格存取控制；防禦者應預設關閉、按需最小化開放、全程審計。