�组保留的标签 余下为需要删除的标签
                unset($oldtag[$key]);
            }
        }
    }
    

    if (!empty($oldtag)) {
        $tagids = array();
        foreach ($oldtag as $tagid => $tagname) {
            $tagids[] = $tagid;
        }

        well_oldtag_delete($tagids, $tid);
    }

    $r = well_tag_process($tid, $fid, $create_tag, $tagarr);

    

    return $r;
}

// 删除标签和绑定的主题
function well_oldtag_delete($tagids, $tid)
{
    

    $pagesize = count($tagids);
    $arrlist = well_tag_find_by_tagids($tagids, 1, $pagesize);

    

    $delete_tagids = array(); // 删除
    $tagids = array();
    $n = 0;
    foreach ($arrlist as $val) {
        ++$n;
        
        if (1 == $val['count']) {
            // 只有一个主题
            $delete_tagids[] = $val['tagid'];
            
        } else {
            $tagids[] = $val['tagid'];
        }
        
    }

    

    !empty($delete_tagids) and well_tag_delete($delete_tagids);

    $arlist = well_tag_thread_find_by_tid($tid, 1, $n);
    if ($arlist) {
        $ids = array();
        foreach ($arlist as $val) $ids[] = $val['id'];

        well_tag_thread_delete($ids);
    }

    !empty($tagids) and well_tag_update($tagids, array('count-' => 1));

    
}

// 标签数据处理 $arr=新提交的数组 $tagarr=保留的旧标签
function well_tag_process($tid, $fid, $new_tags = array(), $tagarr = array())
{
    if (empty($tid)) return '';

    

    // 新标签处理入库
    if ($new_tags) {

        

        $threadarr = array();
        $tagids = array();
        $i = 0;
        $size = 5;
        $n = count($tagarr);
        $n = $n > $size ? $size : $size - $n;

        

        foreach ($new_tags as $name) {
            ++$i;
            $name = trim($name);
            $name = stripslashes($name);
            $name = strip_tags($name);
            $name = str_replace(array('&nbsp;', '#', "@", "$", "%", "^", '&', '·', '<', '>', '；', '`', '~', '!', '￥', '……', ';', '?', '？', '-', '—', '_', '=', '+', '.', '{', '}', '|', ':', '：', '、', '/', '。', '[', ']', '【', '】', '‘', '	', '    ', '  ', '   ', '    '), '', $name);
            $name = htmlspecialchars($name, ENT_QUOTES);
            if ($name && $i <= $n) {
                
                // 查询标签
                $read = well_tag_read_name($name);
                
                if ($read) {
                    // 存在 count+1
                    $tagids[] = $read['tagid'];
                    
                } else {
                    // 入库
                    $arr = array('name' => $name, 'count' => 1);
                    
                    $tagid = well_tag_create($arr);
                    FALSE === $tagid and message(-1, lang('create_failed'));
                    $read = array('tagid' => $tagid, 'name' => $name);
                    
                }

                $tag_thread = array('tagid' => $read['tagid'], 'tid' => $tid);

                

                $threadarr[] = $tag_thread;

                

                $tagarr[$read['tagid']] = $read['name'];
            }
        }

        

        !empty($threadarr) and tag_thread_big_insert($threadarr);

        !empty($tagids) and well_tag_update($tagids, array('count+' => 1));
    }

    

    $json = empty($tagarr) ? '' : xn_json_encode($tagarr);

    

    return $json;
}




?>   $v = implode(",", $v);
        $temp[] = $v;
    }
    // 去掉重复的字符串,也就是重复的一维数组
    $temp = array_unique($temp);
    // 再将拆开的数组重新组装
    $output = array();
    foreach ($temp as $k => $v) {
        if ($stkeep) $k = $starr[$k];
        if ($ndformat) {
            $temparr = explode(",", $v);
            foreach ($temparr as $ndkey => $ndval) $output[$k][$ndarr[$ndkey]] = $ndval;
        } else $output[$k] = explode(",", $v);
    }
    return $output;
}

// 合并二维数组 如重复 值以第一个数组值为准
function array2_merge($array1, $array2, $key = '')
{
    if (empty($array1) || empty($array2)) return NULL;
    $arr = array();
    foreach ($array1 as $k => $v) {
        isset($v[$key]) ? $arr[$v[$key]] = array_merge($v, $array2[$k]) : $arr[] = array_merge($v, $array2[$k]);
    }
    return $arr;
}

/*
 * 对二维数组排序 两个数组必须有一个相同的键值
 * $array1 需要排序数组
 * $array2 按照该数组key排序
 * */
function array2_sort_key($array1, $array2, $key = '')
{
    if (empty($array1) || empty($array2)) return NULL;
    $arr = array();
    foreach ($array2 as $k => $v) {
        if (isset($v[$key]) && $v[$key] == $array1[$v[$key]][$key]) {
            $arr[$v[$key]] = $array1[$v[$key]];
        } else {
            $arr[] = $v;
        }
    }

    return $arr;
}




?><!DOCTYPE html><html lang="zh-cn"><head><meta http-equiv="Content-Type" content="text/html; charset=utf-8" /><meta http-equiv="X-UA-Compatible" content="IE=Edge,chrome=1" /><meta http-equiv="Cache-Control" content="no-transform" /><meta http-equiv="Cache-Control" content="no-siteapp" /><meta name="viewport"
          content="width=device-width, initial-scale=1.0, minimum-scale=1.0, maximum-scale=1.0, user-scalable=no"><meta name="referrer" content="origin-when-cross-origin"><meta name="applicable-device" content="pc,mobile" /><meta name="MobileOptimized" content="width" /><meta name="HandheldFriendly" content="true" /><meta name="renderer" content="webkit" /><meta name="keywords" content="Windows SMB/RDP日志溯源总结" /><meta name="description" content="Windows SMB/RDP日志溯源总结" /><title>Windows SMBRDP日志溯源总结编程频道|福州电脑网
</title><link rel="shortcut icon" href="/view/img/favicon.ico" /><link rel="icon" sizes="32x32" href="/view/img/favicon.ico"><link rel="Bookmark" href="/view/img/favicon.ico" /><link rel="stylesheet" href="/view/template/mitiqin/css/style.css?2.3.0"><link rel="stylesheet" href="/view/template/mitiqin/css/iconfont.css?2.3.0"><script src="/view/template/mitiqin/js/jquery-2.2.4.min.js?2.3.0" type="text/javascript"></script></head><body><div id="header"><div class="header container"><div class="logo"><a href="/"  title="福州电脑网_福州电脑维修_福州电脑之家_福州iThome"><img src="/view/template/mitiqin/img/logo.png" alt="福州电脑网_福州电脑维修_福州电脑之家_福州iThome"></a></div><div id="monavber" class="nav" data-type="index" data-infoid><ul id="nav" class="navbar"><li class="navbar-item" data-active="fid-0"><a href="/">首页</a></li><li class="navbar-item" fid="5" data-active="fid-5"><a href="/biancheng">编程之家</a></li><li class="navbar-item" fid="4" data-active="fid-4"><a href="/xitong">系统教程</a></li><li class="navbar-item" fid="12" data-active="fid-12"><a href="/shuma">数码周边</a></li><li class="navbar-item" fid="13" data-active="fid-13"><a href="/pc">电脑</a></li></ul></div><div id="mnav"><i class="iconfont icon-app"></i></div><div id="search"><i class="iconfont icon-search"></i></div><div class="search"><form id="form-search" action="/operate/search.html"><input type="text" name="keyword" placeholder="关键词" value=""/><button type="submit" value="搜索"><i class="iconfont icon-search"></i></button><input type="hidden" name="range" value="1"></form></div></div></div>
<div class="fzithome-com breadcrumb2 container-w"><div id="b" class="cl"><div class="fzithome-com fl"><i class="iconfont icon-home"></i><a href="/">首页</a>&nbsp;>&nbsp;
<a href="/biancheng">编程之家</a><a href="/biancheng/1739884051a1568081.html" title="首页">Windows SMBRDP日志溯源总结</a></div></div></div><div class="fzithome-com main container-w cl"><div class="fzithome-com mainl"><div class="fzithome-com art-post"><div class="fzithome-com title"><h1>Windows SMBRDP日志溯源总结</h1><div class="fzithome-com info"><span><a href="/biancheng"><i class="iconfont icon-crossborder-fill"></i>编程之家</a></span><span><i class="iconfont icon-browse"></i>146</span><span><i class="iconfont icon-message-fill"></i>0</span><span>
                        更新时间：2026-04-03 20:26:09</span></div></div><div class="fzithome-com art-content"><article class="single-post"><div class="fzithome-com entry"><path stroke-linecap="round" d="M5,0 0,2.5 5,5z"  style="-webkit-tap-highlight-color: rgba(0, 0, 0, 0);"></path>
                    </svg>
                    <h2>Windows SMB/RDP日志溯源总结</h2> 
<hr /> 
<p><strong>在以往涉及到Windows安全事件处理的时候&#xff0c;经常需要分析windows日志。对日志进行分析溯源的时候SMB/RDP日志是非常重要的一部分。比如&#xff1a;RDP入侵植入勒索病毒&#xff0c;drivelife等利用SMB暴力破解传播的病毒。</strong></p> 
<p>注&#xff1a;本文举例均为win7系统。</p> 
<hr /> 
<h3>一、日志提取</h3> 
<ol><li> <p>使用“eventvwr.exe”直接打开事件管理器&#xff0c;可以直接查看和筛选日志。<br /> </p> </li><li> <p>直接访问日志文件路径也可提取<br /> <code>C:\Windows\System32\winevt\Logs</code><br /> 一般重点关注security.evtx、setup.evtx、system.evtx这三个日志<br /> <br /> <strong>SMB登录日志主要是看安全日志&#xff0c;RDP登录日志除了安全日志之外还有其他多种方法</strong></p> </li><li> <p>部分情况下安全日志被攻击者清空&#xff0c;查看RDP登录成功事件可以访问以下路径。记录了哪些源IP利用RDP方式成功登陆到了本机。<br /> <code>Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational</code><br /> </p> </li><li> <p>注册表:<br /> <code>HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers\</code><br /> 此路径记录了当前主机曾经登录过了哪些服务器。<br /> </p> </li><li> <p>在安全日志里面筛选事件ID5156日志&#xff0c;可以看到本机在什么时候访问了其他服务器的3389端口<br /> </p> </li><li> <p>有些系统不记录日志或者只记录登录成功日志&#xff0c;需要在组策略里面开启审核。<br /> <br /> 我这里是勾选了大部分&#xff0c;审核的东西越多&#xff0c;产生的日志量越大&#xff0c;一般选择箭头标红的这几个就可以了。</p> </li></ol> 
<h3>二、登陆类型与事件ID</h3> 
<ol><li>windows登录类型</li></ol> 
<p>可以参考微软官方文档&#xff1a;管理工具和登录类型</p> 
<p>在这里&#xff1a;我们主要关注&#xff1a;<br /> 登录类型&#xff1a;2 交互式登录&#xff08;也称为“本地登录”&#xff09;<br /> 登录类型&#xff1a;3 Network (网络)<br /> 登录类型&#xff1a;10 远程桌面&#xff08;以前称为“终端服务”&#xff09;</p> 
<p>通常情况下&#xff0c;smb产生的日志类型为登录类型3&#xff0c;rdp登录日志为登录类型10。在部分暴力破解的工具下&#xff0c;rdp暴力破解可能在日志上会显示登录类型3且不记录源IP。</p> 
<p>使用hydra爆破rdp&#xff0c;windows<br /> <br /> <br /> 日志上没有记录源IP<br /> </p> 
<ol start="2"><li>事件ID<br /> 一般来说我们需要关注以下两种事件ID类型&#xff1a;<br /> 4624 —— 帐户已成功登录<br /> 4625 —— 帐户无法登录<br /> 1149 —— 用户认证成功</li></ol> 
<h3>事件分析举例</h3> 
<ol><li>使用hydra对主机进行SMB暴力破解<br /> </li></ol> 
<p>在某应急事件现场&#xff0c;发现恶意文件生成时间为xx年xx月xx日&#xff0c;则以此为时间点&#xff0c;提取日志进行分析。<br /> <br /> 可以看到爆破成功登录时间&#xff0c;源地址等信息&#xff0c;以此确定登录源地址。<br /> </p> 
<h3>日志分析工具</h3> 
<p>LogParser 工具可以快速分析日志情况&#xff0c;具体用法这里就不再赘述了。<br /> </p></div></article></div><div class="fzithome-com info"><div><span>本文发布于:2025-02-18，感谢您对本站的认可！</span></div><div><span>本文链接:</span><a href="https://www.fzithome.com/biancheng/1739884051a1568081.html" title="Windows SMBRDP日志溯源总结">https://www.fzithome.com/biancheng/1739884051a1568081.html</a></div><div><span>版权声明:本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系，我们将在24小时内删除。</span></div></div><span class="tag"><i class="iconfont icon-discount" style="font-size:12px;font-weight:bold;opacity:.7;">本文标签：</i><a href="/tag/1052.html" target="_blank">日志</a><a href="/tag/67861.html" target="_blank">Windows</a><a href="/tag/69302.html" target="_blank">SMB</a><a href="/tag/70096.html" target="_blank">RDP</a></span></div><div class="fzithome-com post_comments" id="comments"><div id="comt-respond" class="commentpost"><h4>发布评论
<span><a rel="nofollow" id="cancel-reply" href="#comment" style="display:none;"><small>取消回复</small></a></span></h4><form action="/comment/create/1568081.html?safe_token=v4J45Wd1XvfHZXRZL335YcVvfXgsodbC_2Bq5eqGLNPdr0q0QF8By4Zt8HxCXrlB6qjsGOrvB88ec6hsZhmAuprA_3D_3D" method="post" name="saypl" id="frmSumbit"><input type="hidden" name="doctype" value="1" /><input type="hidden" name="quotepid" value="0" /><div id="comment-tools"><div class="fzithome-com tools_text"><textarea placeholder="请在这里留言..." name="message" id="txaArticle" class="text input-block-level comt-area" cols="50" rows="4" tabindex="5"></textarea></div></div><div class="fzithome-com psumbit"><input name="sumbit" type="submit" tabindex="6" value="发布" class="button" /></div></form></div><div class="fzithome-com commentlist"><div class="fzithome-com comment-tab"><div class="fzithome-com come-comt">评论列表<span id="comment_count">（有<span id="infocommentnumarea" style="color:#c81111">0</span>条评论）</span></div></div><ul class="diy-comment"></ul></div></div></div><div class="fzithome-com mainr"><section id="aside_about" class="widget widget_aside_about sb br mb"><div class="avatar"><img class="img" src="/view/template/mitiqin/img/tx.jpg"
             alt="福州电脑网_福州电脑维修_福州电脑之家_福州iThome"/></div><div class="wrap pd"><p class="title">福州电脑网_福州电脑维修_福州电脑之家_福州iThome</p><p class="info">福州电脑维修网(fzithome.com)专业的电脑维修,笔记本维修,上门维修各种电脑,笔记本,平板等,快速上门.电脑知识频道内容覆盖:计算机资讯,电脑基础应用知识,各种电脑故障维修学习,电脑外设产品维修维护,病毒，软件,硬件,常识.</p><ul class="ul clearfix"></ul></div></section><div class="fzithome-com clear"></div><div class="fzithome-com widgets"><h4 class="bar">相关推荐</h4><div class="fzithome-com hot-post"><ul class="clearfix"><li><a href="/biancheng/1755043078a2663899.html"title='Thinkpad E40 0578 Windows Server 2008 64位无线网卡驱动解决方案' aria-label='Thinkpad E40 0578 Windows Server 2008 64位无线网卡驱动解决方案'><span class="sptit">Thinkpad E40 0578 Windows Server 2008 64位无线网卡驱动解决方案</span></a></li><li><a href="/biancheng/1755043379a2663955.html"title='Windows 7 重装系统后驱动不适配' aria-label='Windows 7 重装系统后驱动不适配'><span class="sptit">Windows 7 重装系统后驱动不适配</span></a></li><li><a href="/biancheng/1755044129a2664109.html"title='windows XP 深度白金珍藏版V5.7 （4CD）' aria-label='windows XP 深度白金珍藏版V5.7 （4CD）'><span class="sptit">windows XP 深度白金珍藏版V5.7 （4CD）</span></a></li><li><a href="/biancheng/1755047556a2664879.html"title='Windows系统下使用pyinstaller打包PaddleOCR中表格识别PP-Structure' aria-label='Windows系统下使用pyinstaller打包PaddleOCR中表格识别PP-Structure'><span class="sptit">Windows系统下使用pyinstaller打包PaddleOCR中表格识别PP-Structure</span></a></li><li><a href="/biancheng/1755061363a2666394.html"title='windows 11家庭中文版 使用ie9及以下版本浏览器访问网站' aria-label='windows 11家庭中文版 使用ie9及以下版本浏览器访问网站'><span class="sptit">windows 11家庭中文版 使用ie9及以下版本浏览器访问网站</span></a></li><li><a href="/biancheng/1755062832a2666515.html"title='windows 中文输入法卡死解决办法' aria-label='windows 中文输入法卡死解决办法'><span class="sptit">windows 中文输入法卡死解决办法</span></a></li><li><a href="/biancheng/1755064847a2666691.html"title='windows和linux centos版本的区别' aria-label='windows和linux centos版本的区别'><span class="sptit">windows和linux centos版本的区别</span></a></li><li><a href="/biancheng/1755065085a2666711.html"title='Windows下安装VScode，并使用，以及中文配置' aria-label='Windows下安装VScode，并使用，以及中文配置'><span class="sptit">Windows下安装VScode，并使用，以及中文配置</span></a></li><li><a href="/biancheng/1755065520a2666744.html"title='【最佳实践】瀚高数据库 Windows企业版v6.0.4 的安装' aria-label='【最佳实践】瀚高数据库 Windows企业版v6.0.4 的安装'><span class="sptit">【最佳实践】瀚高数据库 Windows企业版v6.0.4 的安装</span></a></li><li><a href="/biancheng/1755066117a2666789.html"title='Windows server 2016中文语言包安装教程' aria-label='Windows server 2016中文语言包安装教程'><span class="sptit">Windows server 2016中文语言包安装教程</span></a></li><li><a href="/biancheng/1755066360a2666806.html"title='Windows 下 JetBrains 系列如 IDEA、PhpStorm、PyCharm 中文优化字体方案' aria-label='Windows 下 JetBrains 系列如 IDEA、PhpStorm、PyCharm 中文优化字体方案'><span class="sptit">Windows 下 JetBrains 系列如 IDEA、PhpStorm、PyCharm 中文优化字体方案</span></a></li><li><a href="/biancheng/1755066394a2666808.html"title='Windows安装TensorFlow2.3.1GPU版' aria-label='Windows安装TensorFlow2.3.1GPU版'><span class="sptit">Windows安装TensorFlow2.3.1GPU版</span></a></li><li><a href="/biancheng/1755067978a2666926.html"title='minio：安装部署并安装成windows服务' aria-label='minio：安装部署并安装成windows服务'><span class="sptit">minio：安装部署并安装成windows服务</span></a></li><li><a href="/biancheng/1755068015a2666929.html"title='Windows挂载nfs驱动器中文乱码问题' aria-label='Windows挂载nfs驱动器中文乱码问题'><span class="sptit">Windows挂载nfs驱动器中文乱码问题</span></a></li><li><a href="/biancheng/1755068303a2666951.html"title='阿里云Windows Server 2022服务器在Win10上部署项目上线' aria-label='阿里云Windows Server 2022服务器在Win10上部署项目上线'><span class="sptit">阿里云Windows Server 2022服务器在Win10上部署项目上线</span></a></li><li><a href="/biancheng/1755068523a2666966.html"title='RabbitMQ Windows版本安装' aria-label='RabbitMQ Windows版本安装'><span class="sptit">RabbitMQ Windows版本安装</span></a></li><li><a href="/biancheng/1755071688a2667205.html"title='Windows Server 2016 中文版、英文版下载 (2025 年 4 月更新)' aria-label='Windows Server 2016 中文版、英文版下载 (2025 年 4 月更新)'><span class="sptit">Windows Server 2016 中文版、英文版下载 (2025 年 4 月更新)</span></a></li><li><a href="/xitong/1767289764a2675556.html"title='Windows 系统日志分析关键词指南-搜索引擎优化标题' aria-label='Windows 系统日志分析关键词指南-搜索引擎优化标题'><span class="sptit">Windows 系统日志分析关键词指南-搜索引擎优化标题</span></a></li><li><a href="/xitong/1771575679a2687823.html"title='Flash中心出故障？检查这些关键点！' aria-label='Flash中心出故障？检查这些关键点！'><span class="sptit">Flash中心出故障？检查这些关键点！</span></a></li><li><a href="/xitong/1771810378a2690463.html"title='一劳永逸：借助Bat脚本来批量清理系统垃圾和日志' aria-label='一劳永逸：借助Bat脚本来批量清理系统垃圾和日志'><span class="sptit">一劳永逸：借助Bat脚本来批量清理系统垃圾和日志</span></a></li></ul></div></div><div class="fzithome-com clear"></div><div class="widget widget_tags"><h4 class="bar">标签列表</h4><ul><li class="submenu"><a target="_blank" href="/tag/244939.html">的深陷纠</a></li><li class="submenu"><a target="_blank" href="/tag/244903.html">不再害怕</a></li><li class="submenu"><a target="_blank" href="/tag/244875.html">动的不和</a></li><li class="submenu"><a target="_blank" href="/tag/244860.html">让你成为</a></li><li class="submenu"><a target="_blank" href="/tag/244857.html">应用大扫</a></li><li class="submenu"><a target="_blank" href="/tag/244795.html">快捷键无</a></li><li class="submenu"><a target="_blank" href="/tag/244792.html">监听不到</a></li><li class="submenu"><a target="_blank" href="/tag/244780.html">定义在</a></li><li class="submenu"><a target="_blank" href="/tag/244778.html">人工智障</a></li><li class="submenu"><a target="_blank" href="/tag/244761.html">也检测不</a></li><li class="submenu"><a target="_blank" href="/tag/244735.html">进程管理</a></li><li class="submenu"><a target="_blank" href="/tag/244710.html">器完整使</a></li><li class="submenu"><a target="_blank" href="/tag/244692.html">老显示器</a></li><li class="submenu"><a target="_blank" href="/tag/244598.html">一个设备</a></li><li class="submenu"><a target="_blank" href="/tag/244571.html">在前台</a></li><li class="submenu"><a target="_blank" href="/tag/244559.html">模型训练</a></li><li class="submenu"><a target="_blank" href="/tag/244551.html">内网打印</a></li><li class="submenu"><a target="_blank" href="/tag/244542.html">器缓存方</a></li><li class="submenu"><a target="_blank" href="/tag/244530.html">法候选栏</a></li><li class="submenu"><a target="_blank" href="/tag/244512.html">王者荣耀</a></li></ul></div><div class="fzithome-com clear"></div></div></div>