RDP 登录日志被清空，是否可能被入侵了？

› 升级到 Windows 11

This topic created in 1910 days ago, the information mentioned may be changed or developed.

Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational 140

Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational 1149

这两个的日志全没了，但是看了下 FRP 差不多 100MB 的尝试连接日志。

2021/03/23 05:49:01 [D] [proxy.go:273] [dd37c9ec8dfa7c28] [RDP_TCP] join connections, workConn(l[*.*.*.*:2] r[10.0.0.10:64790]) userConn(l[*.*.*.*:50101] r[185.202.1.98:42468])

2021/03/23 06:01:40 [D] [proxy.go:273] [dd37c9ec8dfa7c28] [RDP_TCP] join connections, workConn(l[*.*.*.*:2] r[10.0.0.10:64790]) userConn(l[*.*.*.*:50101] r[27.224.137.146:54862])

100MB 的日志全是 185.202.1.98 这个 IP 弄的，但在最后突然换成了 27.224.137.146 这个 IP，然后所有爆破戛然而止。

有没有可能是 win 日志自动清除了？比如更新（我前两天更新过一次系统）。但安全、系统这类日志还在。

Supplement 1 · Mar 23, 2021

11:58 他又在攻击了（不会是他看到了帖子在唬我吧🤣）。
我看了下，win 默认只保存 1028KB 日志，会覆盖旧的日志.......

Supplement 2 · Jun 25, 2021

日志被清空是正常现象，每个子事件都是单独的缓存大小，超过就自动删除了。

日志

27.224.137.146

10.0.0.10

185.202.1.98

4 replies • 2021-03-23 14:54:21 +08:00