我看it邦回答还满多了~ 因为自己也不熟这块 虽然应该帮不上忙 刚刚看到你的这个问题 我自己也好奇了一下如果被别人连线了要怎麽查对方IP google了一下 几乎都是提到 event 4624 看到国外一篇文章讲远端桌面连线的追查IP 就顺便分享一下 打开event log 到下列路径 Applications and Services Logs -> Microsoft -> Windows -> Terminal-Services-RemoteConnectionManager 筛选 event ID 1149 可以看到别人远端桌面连线过来的IP 文章中还有其他的你可以看看有没有帮助 http://woshub.com/rdp-connection-logs-forensics-windows/ 自己试了一下的截图 https://i.imgur.com/jmiG9pV.png https://i.imgur.com/bLBtcot.png ※ 引述《icurious (冲)》之铭言： : Hi 各位前辈: : 主要状况为:目前在公司工作时，时常会有重要邮件跳到垃圾桶，或是档案被更改储存位 : 置甚至遭到删除，甚至档案被无预警关闭，一开始以为是自己误动作，但偶然去 : windows 事件纪录簿查询log file，发现再出现异常状况时候都会有如同网路文章中所注 : 记: 远端读写C$, D$, E$..的事件(Security Event ID 5140)，但是回头查询4624的网路 : 登入资讯在那个时间点却没有 登入型别为10（远端互动），实在难以找到对方IP，推 : 测估计对方为公司同区域网路内人员，不知用什麽方式入侵我主机(ex:在D槽安装後门程 : 式 或是 C槽有隐藏帐户?)，已经换过密码，也查询过帐户，没有可以之处，不知前辈 : 们是否可以给予建议，在电脑如何设定可以找到对方IP，或是推荐同业可以处理分析此问 : 题的 单位 或 人员 或网站，再麻烦IT前辈们帮忙，谢谢。(推文或是回信都可以) : (我这边有windows 登入事件纪录档案，以及windows远端读写事件纪录档案， : 若是前辈需要可以来信给我，我再寄给前辈们，谢谢。([email protected]) : 附件1为今日(7/28)下午远端读取纪录(约在下午4:50，如下图1) : (缩图网址被判定为广告，来信提供给您) : 回头对照附件2的4624登入纪录(如下图2)，我也看不出所以然，还烦请帮忙分析，谢谢。 : (缩图网址被判定为广告，来信提供给您) --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 123.194.180.53 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/NetSecurity/M.1596127769.A.3DD.html