远程桌面用户监控,保护服务器安全

萧阳天

调用 WTSRegisterSessionNotification APIzc会话监控消息，接收来自远程桌面用户登入或登出事件。
再调用WTSQuerySessionInformation  cha询 出会话用户名与IP地址，可做成系统服务后台监控，发现非白名单用户发送邮件通知管理员。

WTSQuerySessionInformation.e (16.13 KB, 下载次数: 604)

2021-4-4 11:51 上传

点击文件名下载附件


补充内容 (2021-5-28 19:50):
常量  WTSUserName 有BUG正确值 为5，是可以获取到正确用户名
常量 WTSClientName=10 可以获取计算机名
至少获取wai网IP不是这个函数。

jaicke123

感谢分享

hmyroot

正好需要，好东西

  

常量名称	常量值	公 开	备 注
WTSInitialProgram	0		WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含远程桌面服务在远程桌面服务运行时运行的初始程序的名称用户登录
WTSApplicationName	1		WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含会话正在运行的应用程序的已发布名称，Vista、Win2008、Win7不支持此值。
WTSWorkingDirectory	2		WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含启动初始程序时使用的默认目录。
WTSOEMId	3		WTS_INFO_CLASS，不使用此值。
WTSSessionId	4		WTS_INFO_CLASS，包含会话标识符的ULONG值。
WTSUserName	5		WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含与会话关联的用户的名称。
WTSWinStationName	6		WTS_INFO_CLASS，包含远程桌面服务会话名称的以NULL结尾的字符串。
WTSDomainName	7		WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含登录用户所属的域的名称。
WTSConnectState	8		WTS_INFO_CLASS，会话的当前连接状态，有关详细信息请参阅WTS_CONNECTSTATE_CLASS
WTSClientBuildNumber	9		WTS_INFO_CLASS，包含客户Duan内部版本号的ULONG值。
WTSClientName	10		WTS_INFO_CLASS，包含客户Duan名称的以NULL结尾的字符串。
WTSClientDirectory	11		WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含安装客户Duan的目录。
WTSClientProductId	12		WTS_INFO_CLASS，特定于USHORT客户Duan的产品标识符。
WTSClientHardwareId	13		WTS_INFO_CLASS，包含特定于客户Duan的硬件标识符的ULONG值，此选项保留供将来使用，WTSQuerySessionInformation()始终返回0
WTSClientAddress	14		WTS_INFO_CLASS，客户Duan的网络类型和网络地址，有关详细信息请参阅WTS_CLIENT_ADDRESS，IP地址从WTS_CLIENT_ADDRESS的地址成员的开头偏移两个字节结构。
WTSClientDisplay	15		WTS_INFO_CLASS，有关客户Duan的显示分辨率的信息，有关详细信息请参阅WTS_CLIENT_DISPLAY
WTSClientProtocolType	16		WTS_INFO_CLASS，一个USHORT值，该值指定有关 的协议类型的信息会期，这是以下值之一：0=控制台会话、1=此值保留为旧用途、2=RDP 协议
WTSIdleTime	17		WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，若要对会话空闲时间进行分类，请使用LastInputTime结构字段，Vista、Win2008不支持此值。
WTSLogonTime	18		WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。
WTSIncomingBytes	19		WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。
WTSOutgoingBytes	20		WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。
WTSIncomingFrames	21		WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。
WTSOutgoingFrames	22		WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。
WTSClientInfo	23		WTS_INFO_CLASS，有关远程桌面连接RDC客户Duan的信息，有关详细信息请参阅WTSCLIENT
WTSSessionInfo	24		WTS_INFO_CLASS，有关RD会话主机服务器上的客户Duan会话的信息，有关详细信息请参阅WTSINFO。
WTSSessionInfoEx	25		WTS_INFO_CLASS，有关RD会话主机服务器上的会话的扩展信息，有关详细信息请参阅WTSINFOEX，Vista、Win2008不支持此值。
WTSConfigInfo	26		WTS_INFO_CLASS，包含有关RD会话主机服务器配置的信息的WTSCONFIGINFO结构，Vista、Win2008不支持此值。
WTSValidationInfo	27		WTS_INFO_CLASS，不支持此值。
WTSSessionAddressV4	28		WTS_INFO_CLASS，包含分配给会话的IPv4地址的WTS_SESSION_ADDRESS结构，如果会话没有虚拟IP地址，WTSQuerySessionInformation()函数将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。
WTSIsRemoteSession	29		WTS_INFO_CLASS，确定当前会话是否为远程会话。WTSQuerySessionInformation()函数将返回TRUE值，指示当前会话是远程会话。如果为FALSE，则指示当前会话是本地会话。此值只能用于本地计算机，因此WTSQuerySessionInformation()函数的hServer参数必须包含WTS_CURRENT_SERVER_HANDLE，Vista、Win2008不支持此值。

.版本 2<br /> <br /> .常量 WTSInitialProgram, "0", , WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含远程桌面服务在远程桌面服务运行时运行的初始程序的名称用户登录<br /> .常量 WTSApplicationName, "1", , WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含会话正在运行的应用程序的已发布名称，Vista、Win2008、Win7不支持此值。<br /> .常量 WTSWorkingDirectory, "2", , WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含启动初始程序时使用的默认目录。<br /> .常量 WTSOEMId, "3", , WTS_INFO_CLASS，不使用此值。<br /> .常量 WTSSessionId, "4", , WTS_INFO_CLASS，包含会话标识符的ULONG值。<br /> .常量 WTSUserName, "5", , WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含与会话关联的用户的名称。<br /> .常量 WTSWinStationName, "6", , WTS_INFO_CLASS，包含远程桌面服务会话名称的以NULL结尾的字符串。<br /> .常量 WTSDomainName, "7", , WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含登录用户所属的域的名称。<br /> .常量 WTSConnectState, "8", , WTS_INFO_CLASS，会话的当前连接状态，有关详细信息请参阅WTS_CONNECTSTATE_CLASS<br /> .常量 WTSClientBuildNumber, "9", , WTS_INFO_CLASS，包含客户Duan内部版本号的ULONG值。<br /> .常量 WTSClientName, "10", , WTS_INFO_CLASS，包含客户Duan名称的以NULL结尾的字符串。<br /> .常量 WTSClientDirectory, "11", , WTS_INFO_CLASS，一个以NULL结尾的字符串，其中包含安装客户Duan的目录。<br /> .常量 WTSClientProductId, "12", , WTS_INFO_CLASS，特定于USHORT客户Duan的产品标识符。<br /> .常量 WTSClientHardwareId, "13", , WTS_INFO_CLASS，包含特定于客户Duan的硬件标识符的ULONG值，此选项保留供将来使用，WTSQuerySessionInformation()始终返回0<br /> .常量 WTSClientAddress, "14", , WTS_INFO_CLASS，客户Duan的网络类型和网络地址，有关详细信息请参阅WTS_CLIENT_ADDRESS，IP地址从WTS_CLIENT_ADDRESS的地址成员的开头偏移两个字节结构。<br /> .常量 WTSClientDisplay, "15", , WTS_INFO_CLASS，有关客户Duan的显示分辨率的信息，有关详细信息请参阅WTS_CLIENT_DISPLAY<br /> .常量 WTSClientProtocolType, "16", , WTS_INFO_CLASS，一个USHORT值，该值指定有关 的协议类型的信息会期，这是以下值之一：0=控制台会话、1=此值保留为旧用途、2=RDP 协议<br /> .常量 WTSIdleTime, "17", , WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，若要对会话空闲时间进行分类，请使用LastInputTime结构字段，Vista、Win2008不支持此值。<br /> .常量 WTSLogonTime, "18", , WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。<br /> .常量 WTSIncomingBytes, "19", , WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。<br /> .常量 WTSOutgoingBytes, "20", , WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。<br /> .常量 WTSIncomingFrames, "21", , WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。<br /> .常量 WTSOutgoingFrames, "22", , WTS_INFO_CLASS，使用此值将返回FALSE，如果调用GetLastError()以获取扩展的错误信息，GetLastError将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。<br /> .常量 WTSClientInfo, "23", , WTS_INFO_CLASS，有关远程桌面连接RDC客户Duan的信息，有关详细信息请参阅WTSCLIENT<br /> .常量 WTSSessionInfo, "24", , WTS_INFO_CLASS，有关RD会话主机服务器上的客户Duan会话的信息，有关详细信息请参阅WTSINFO。<br /> .常量 WTSSessionInfoEx, "25", , WTS_INFO_CLASS，有关RD会话主机服务器上的会话的扩展信息，有关详细信息请参阅WTSINFOEX，Vista、Win2008不支持此值。<br /> .常量 WTSConfigInfo, "26", , WTS_INFO_CLASS，包含有关RD会话主机服务器配置的信息的WTSCONFIGINFO结构，Vista、Win2008不支持此值。<br /> .常量 WTSValidationInfo, "27", , WTS_INFO_CLASS，不支持此值。<br /> .常量 WTSSessionAddressV4, "28", , WTS_INFO_CLASS，包含分配给会话的IPv4地址的WTS_SESSION_ADDRESS结构，如果会话没有虚拟IP地址，WTSQuerySessionInformation()函数将返回ERROR_NOT_SUPPORTED，Vista、Win2008不支持此值。<br /> .常量 WTSIsRemoteSession, "29", , WTS_INFO_CLASS，确定当前会话是否为远程会话。WTSQuerySessionInformation()函数将返回TRUE值，指示当前会话是远程会话。如果为FALSE，则指示当前会话是本地会话。此值只能用于本地计算机，因此WTSQuerySessionInformation()函数的hServer参数必须包含WTS_CURRENT_SERVER_HANDLE，Vista、Win2008不支持此值。

gusin

无敌了、正好需要！

afass123

厉害厉害了。。。学习看看

Format

厉害了1，厉害了1，厉害了1，

一只单身龟

666666666正好需要

灰鸽子免杀

感谢分享，很给力！~

flfkhn2

看看是不是我需要的

已注销571294

没有看懂

Nning

萧阳天 发表于 2021-5-28 19:53
刚好有朋友需要获取wai网IP，发现这个函数的常量不能获取，另外一个函数可以获取 ...

是那个函数可以获取