RDP 使用痕迹收集

RDP 痕迹散布多处：安全日志登录类型 10、TerminalServices 事件、Default.rdp 与 RDPCache 位图缓存。

取证与溯源速查安全更新于 2026-10-12

用途	远程桌面行为还原
位置	Default.rdp / AppData/Local/Microsoft/Terminal Server Client/Cache

清单

Get-ChildItem 'C:/Users/*/AppData/Local/Microsoft/Terminal Server Client/Cache' -Recurse -Filter *.bmc | Select FullName, LastWriteTime
wevtutil qe Microsoft-Windows-TerminalServices-LocalSessionManager/Operational /c:20 /rd:true /f:text

bmc 位图可还原部分远程屏幕片段，作为操作佐证。

易错点

bitmap cache 解析出的画面碎片别当完整截屏表述
出站连接与入站登录要分方向，勿混为一谈

数据来源与参考

Microsoft Docs（RDP 客户端痕迹与事件）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌