如何获取所有曾通过RDP连接过的目标对象完整日志？

1. 从注册表提取连接历史 #

• 打开注册表编辑器：按下Win + R，输入regedit回车
• 导航到路径：HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default
  这里的MRU0、MRU1这类字符串值，就是你连接过的RDP目标地址，编号越小，连接时间越近
• 还有更详细的信息在这个路径：HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers
  每个子项对应一个曾连接过的服务器，里面存着用户名、连接配置等细节

2. 查看本地RDP配置与缓存文件 #

• 打开文件资源管理器，去这个路径：%USERPROFILE%\Documents\Default.rdp
  这个文件保存着最近一次RDP连接的配置，如果之前手动存过其他RDP文件，也会在Documents目录下以.rdp后缀存在，这些都是用过的连接记录
• 还有个隐藏缓存文件夹：%USERPROFILE%\AppData\Local\Microsoft\Terminal Server Client\Cache
  里面的.bmc文件对应每个曾连接过的RDP服务器，看文件的修改时间能辅助判断连接时间

3. 用事件查看器查登录/连接日志 #

• 打开事件查看器：按下Win + R，输入eventvwr.msc回车
• 先看Windows日志 -> 安全，筛选这些事件ID：
  • 4624：成功登录事件，要选登录类型为10的，这就是RDP远程交互登录
  • 4634：注销事件，对应RDP断开的记录
• 另外在Applications and Services Logs -> Microsoft -> Windows -> TerminalServices-RemoteConnectionManager -> Operational里，事件ID1149代表远程桌面服务成功建立连接

内容的提问来源于stack exchange，提问作者Adam Khattab