换了 win11 才发现自己电脑一直在被爆破

[wangweitung]

RDP 时一直提示“为安全考虑，已锁定该用户账户，原因是登录尝试或密码更改尝试过多”。

我心想我自己密码没输错啊，咋一直这提示。

后来搜索了下，可以查看攻击者 ip：

https://e673.com/windows-remote-desktop-rdp-account-locked/

如果你想查看攻击者的 IP 地址，打开 事件查看器——windows 日志——安全，在审核失败的日志上双击，找到网络源地址就是攻击者的 IP ，当然，这个 IP 极大概率是肉机或者代理的 IP 。

看了下，大多数 ip 如下：

79.124.56.186
141.255.167.50 
46.19.142.242

而且尝试爆破的频率很高，基本上 20-30s 左右就爆破一次。

要是 win11 有像群晖一样，超过几次失败，直接 block ip 的功能就好了。

[learnshare]

火绒

[s4nd]

win10 有没有软件能发现电脑有没有在被爆破

[leewi9coder]

为什么我的日志里源网络地址: 127.0.0.1

[dizhang]

妈呀，查了一下日志，几分钟一次 winlogon ，奇怪的是我把电脑的 3389 映射到了路由器上另外一个端口，比如说 386 这个端口，我自己连回家的时候就是用的 ip 加 386 这个端口的方式，那么这些攻击的机器怎么会知道这个端口的然后不断尝试的？

[osilinka]

How to Whitelist an IP Address for RDP

[Daming]

https://github.com/DigitalRuby/IPBan

可以用这个

[xmumiffy]

@dizhang 所有端口都会被扫，换端口并没啥意义

[feikaras]

不要把这个服务开在互联网上。

[dilidilid]

干嘛要在公网开 3389 端口？

[RealMan]

@s4nd 火绒可以检测然后告警

[idragonet]

路由器映射外网的端口都开启 IP 白名单。

[ho121]

@leewi9coder 用了穿透软件，访问本机服务基本都是 127.0.0.1

[dwu8555]

套一个 Cloudflare

[Kazetachinu]

啊，我没有公网 ip ，用了个内网穿透弄 emby 。应该还行

[blankmiss]

@dizhang 为什么不能爆破全端口

[busier]

多大点事

内置管理员账号改名或禁用。对方又要猜用户名，又要猜密码。哪那么容易

[mcluyu]

不使用默认用户名和弱密码几乎没可能爆成功， 但是心里膈应， 所以都是走 VPN 的，之前用 Wireguard ， 现在 tailscale

[peasant]

windows11 用的不应该是 Microsoft 账户吗，别人不知道你的账户就算爆破也不会影响你正常使用，OP 自己开了 Administrator 账户来用？

建议把 RDP 端口改成没有规律的端口，或者防火墙设置白名单，使用 Microsoft 账户，并且勾选仅允许运行使用网络级别的身份验证的远程桌面的计算机连接。

[Stoney]

公网开 rdp 应该肯定被扫吧，改端口也没用，把不需要的 IP 都禁止连 rdp 端口吧

[leewi9coder]

@ho121 ok ，我是用 frp 的，通过一台阿里云机子中转，不过阿里云上我开了 ip 白名单，怎么还会有别人能访问到呢，奇怪。。