Ecosyste.ms: Awesome
An open API service indexing awesome lists of open source software.
https://github.com/y11en/BlockRDPBrute
[HIPS]RDP(3389)爆破防护
https://github.com/y11en/BlockRDPBrute
Last synced: 22 days ago
JSON representation
[HIPS]RDP(3389)爆破防护
- Host: GitHub
- URL: https://github.com/y11en/BlockRDPBrute
- Owner: y11en
- License: mit
- Created: 2019-01-06T05:57:30.000Z (almost 6 years ago)
- Default Branch: master
- Last Pushed: 2019-02-28T04:11:28.000Z (almost 6 years ago)
- Last Synced: 2024-08-05T17:24:03.003Z (4 months ago)
- Language: C
- Homepage:
- Size: 968 KB
- Stars: 44
- Watchers: 4
- Forks: 18
- Open Issues: 0
-
Metadata Files:
- Readme: README.md
- License: LICENSE
Awesome Lists containing this project
- awesome-hacking-lists - y11en/BlockRDPBrute - [HIPS]RDP(3389)爆破防护 (C)
README
# BlockRDPBrute
## 方案一、RuntimeEventlogAudit (ring3 plan)
通过读取windows实时日志检测RDP连接情况,其中
* EventID = 4624, 登陆成功
* EventID = 4625, 登陆失败
需要特殊关注
### 效果
![](https://github.com/y11en/BlockRDPBrute/blob/master/RuntimeEventLogAudit/img/test.png)## 方案二、WFP (ring0 plan)
使用 网络协议过滤框架,通过在`FWPM_LAYER_ALE_FLOW_ESTABLISHED_V4`收集对端信息,在`FWPM_LAYER_STREAM_V4`层进行数据包校验(在stream层单独做可能也行,没有验证),判断是不是RDP数据握手包(请求验证),基于2条规则,
* 握手总次数(>=20次)
* 握手频率 (>=2次/1s)
就给你安排了(block)
### 效果
![](https://github.com/y11en/BlockRDPBrute/blob/master/WFP/img/test.png)## 方案对比
*RuntimeEventlogAudit* 优点:实现简单、反馈信息多(密码错误,账户不存在等)
* 缺点:在批量暴力破解速率高时(单次耗时<=1s时),EventLog的读取存在延迟,这样就导致拦截不及时*WFP
* 优点:真实时拦截
* 缺点:相对实现较复杂些,没有`RuntimeEventlogAudit`获取到的信息多,一定程度上有损网络性能### 参考
https://github.com/JaredWright/WFPStarterKit [wfp]https://github.com/raymon-tian/WFPFirewall [wfp]
## bugs&其他
关于bug和其他讨论,欢迎提交issue