91网首页-91网页版-91网在线观看-91网站免费观看-91网站永久视频-91网站在线播放

【C#】查詢Windows服務器遠程桌面RDP協(xié)議登錄事件，獲取并導出當前服務器用戶登錄記錄

參考：https://github.com/uknowsec/SharpEventLog

簡介：讀取登錄過本機的登錄失敗或登錄成功的所有計算機信息，在內(nèi)網(wǎng)滲透中快速定位運維管理人員。

輸出：登錄時間、源IP地址、域名、用戶名、是否成功

原理：通過Win API 獲取windows事件安全日志中ID為4624、4625的事件，提取事件中的關(guān)鍵信息。

源碼參考：

using System;
using System.Collections.Generic;
using System.Diagnostics;
using System.Linq;
using System.Text;


namespace SharpEventLog
{
    class Program
    {
        static void Main(string[] args)
        {
            System.Console.WriteLine("");
            System.Console.WriteLine("Author: Uknow");
            System.Console.WriteLine("Github: https://github.com/uknowsec/SharpEventLog");
            System.Console.WriteLine("");
            if (args.Length == 0)
            {
                System.Console.WriteLine("Usage: SharpEventLog.exe -4624");
                System.Console.WriteLine("       SharpEventLog.exe -4625");
            }
            if (args.Length == 1 && (args[0] == "-4624"))
            {
                EventLog_4624();
            }
            if (args.Length == 1 && (args[0] == "-4625"))
            {
                EventLog_4625();
            }
        }


        public static void EventLog_4624()
        {
            EventLog log = new EventLog("Security");
            Console.WriteLine("\r\n========== SharpEventLog -> 4624 ==========\r\n");
            var entries = log.Entries.Cast<EventLogEntry>().Where(x => x.InstanceId == 4624);
            entries.Select(x => new
            {
                x.MachineName,
                x.Site,
                x.Source,
                x.Message,
                x.TimeGenerated
            }).ToList();
            foreach (EventLogEntry log1 in entries)
            {
                string text = log1.Message;
                string ipaddress = MidStrEx(text, "	源網(wǎng)絡地址:	", "	源端口:");
                string username = MidStrEx(text, "新登錄:", "進程信息:");
                username = MidStrEx(username, "	帳戶名:		", "	帳戶域:		");
                DateTime Time = log1.TimeGenerated;
                if (ipaddress.Length >= 7)
                {
                    Console.WriteLine("\r\n-----------------------------------");
                    Console.WriteLine("Time: " + Time);
                    Console.WriteLine("Status: True");
                    Console.WriteLine("Username: " + username.Replace("\n", "").Replace(" ", "").Replace("\t", "").Replace("\r", ""));
                    Console.WriteLine("Remote ip: " + ipaddress.Replace("\n", "").Replace(" ", "").Replace("\t", "").Replace("\r", ""));
                }
            }
        }


        public static void EventLog_4625()
        {
            EventLog log = new EventLog("Security");
            Console.WriteLine("\r\n========== SharpEventLog -> 4625 ==========\r\n");
            var entries = log.Entries.Cast<EventLogEntry>().Where(x => x.InstanceId == 4625);
            entries.Select(x => new
            {
                x.MachineName,
                x.Site,
                x.Source,
                x.Message,
                x.TimeGenerated
            }).ToList();
            foreach (EventLogEntry log1 in entries)
            {
                string text = log1.Message;
                string ipaddress = MidStrEx(text, "	源網(wǎng)絡地址:	", "	源端口:");
                string username = MidStrEx(text, "新登錄:", "進程信息:");
                username = MidStrEx(username, "	帳戶名:		", "	帳戶域:		");
                DateTime Time = log1.TimeGenerated;
                if (ipaddress.Length >= 7)
                {
                    Console.WriteLine("\r\n-----------------------------------");
                    Console.WriteLine("Time: " + Time);
                    Console.WriteLine("Status: Flase");
                    Console.WriteLine("Username: " + username.Replace("\n", "").Replace(" ", "").Replace("\t", "").Replace("\r", ""));
                    Console.WriteLine("Remote ip: " + ipaddress.Replace("\n", "").Replace(" ", "").Replace("\t", "").Replace("\r", ""));
                }
            }
        }


        public static string MidStrEx(string sourse, string startstr, string endstr)
        {
            string result = string.Empty;
            int startindex, endindex;
            startindex = sourse.IndexOf(startstr);
            if (startindex == -1)
                return result;
            string tmpstr = sourse.Substring(startindex + startstr.Length);
            endindex = tmpstr.IndexOf(endstr);
            if (endindex == -1)
                return result;
            result = tmpstr.Remove(endindex);


            return result;
        }
    }
}

> SharpEventLog.exe
Author: Uknow
Github: https://github.com/uknowsec/SharpEventLog
Usage: SharpEventLog.exe -4624
       SharpEventLog.exe -4625