检测远程桌面连接的来源

Question

这个问题告诉我如何检测远程桌面会话。

请问有没有办法找出远程连接是从哪里初始化的？

- Vegar

Answer 1

@Vegar，您可以使用WTSEnumerateSessions和WTSQuerySessionInformation函数来检索此信息。

请查看链接中的示例，使用Jedi Api Headers。

检查此代码。

program ProjectTsInfo;

{$APPTYPE CONSOLE}

Uses
  Windows,
  JwaWinType,
  JwaWtsApi32,
  JwaWinsock2,
  SysUtils,
  TypInfo;


type
  PWtsSessionInfoAArray = ^TWtsSessionInfoAArray;
  TWtsSessionInfoAArray = array[0..ANYSIZE_ARRAY-1] of WTS_SESSION_INFOA;

//Get the info for all clients connected
procedure GetAll_TSClientsInfo;
var
  SessionInfoAArray: PWtsSessionInfoAArray;
  ClientAddr       : PWtsClientAddress;
  ClientName       : PAnsiChar;
  //ClientInfo       : PWTSCLIENT;
  RetBytes         : Cardinal;
  IPAddr           : String;
  i                : integer;
  pCount           : Cardinal;
  SessionId        : Cardinal;
begin

  if WtsEnumerateSessions(WTS_CURRENT_SERVER, 0, 1, PWTS_SESSION_INFO(SessionInfoAArray),  pCount) then
  begin

    for i := 0 to pCount - 1 do
    begin
      SessionId:=SessionInfoAArray^[i].SessionId;
      WTSQuerySessionInformation(WTS_CURRENT_SERVER, SessionId, WTSClientAddress, Pointer(ClientAddr), RetBytes);
      WTSQuerySessionInformation(WTS_CURRENT_SERVER, SessionId, WTSClientName, Pointer(ClientName), RetBytes);
      //WTSQuerySessionInformation(WTS_CURRENT_SERVER, SessionId, WTSClientInfo, Pointer(ClientInfo), RetBytes);  //This value is supported for Windows Server 2008 and Windows Vista with SP1.

     try
      case ClientAddr^.AddressFamily of
        AF_INET:
          IPAddr:= Format('%d.%d.%d.%d', [
            ClientAddr^.Address[2],
            ClientAddr^.Address[3],
            ClientAddr^.Address[4],
            ClientAddr^.Address[5]
            ]);
        else
        IPAddr:= '<unknow>';
      end;

      WriteLn(Format('Session Id  : %d ', [SessionId]));
      WriteLn(Format('Client Name : %s ', [ClientName]));
      WriteLn(Format('Station Name: %s ', [SessionInfoAArray^[i].pWinStationName]));
      WriteLn(Format('State       : %s ', [GetEnumName(TypeInfo(WTS_CONNECTSTATE_CLASS),integer(SessionInfoAArray^[i].State))]));
      WriteLn(Format('IP          : %s ', [IPAddr]));

      //supported for Windows Server 2008 and Windows Vista with SP1.
      {
      WriteLn(Format('ClientName      : %s ', [ClientInfo^.ClientName]));
      WriteLn(Format('Domain          : %s ', [ClientInfo^.Domain]));
      WriteLn(Format('UserName        : %s ', [ClientInfo^.UserName]));
      WriteLn(Format('WorkDirectory   : %s ', [ClientInfo^.WorkDirectory]));
      WriteLn(Format('InitialProgram  : %s ', [ClientInfo^.InitialProgram]));
      WriteLn(Format('EncryptionLevel : %d ', [ClientInfo^.EncryptionLevel]));
      WriteLn(Format('HRes            : %d ', [ClientInfo^.HRes]));
      WriteLn(Format('VRes            : %d ', [ClientInfo^.VRes]));
      WriteLn(Format('ColorDepth      : %d ', [ClientInfo^.ColorDepth]));
      WriteLn(Format('ClientDirectory : %s ', [ClientInfo^.ClientDirectory]));
      }
      Writeln('');

   finally
      WTSFreeMemory(ClientAddr);
      WTSFreeMemory(ClientName);
   end;
    end;
  end;

  WtsFreeMemory(SessionInfoAArray);
end;

//Get the ip address of the actual connected client
function GetIpActualClient : string;
var
  ClientAddr       : PWtsClientAddress;
  RetBytes         : Cardinal;
  IPAddr           : String;
  SessionId        : Cardinal;
begin
      SessionId:=WTS_CURRENT_SESSION;
      WTSQuerySessionInformation(WTS_CURRENT_SERVER, SessionId, WTSClientAddress, Pointer(ClientAddr), RetBytes);
      try
        case ClientAddr^.AddressFamily of
          AF_INET:
            IPAddr:= Format('%d.%d.%d.%d', [
              ClientAddr^.Address[2],
              ClientAddr^.Address[3],
              ClientAddr^.Address[4],
              ClientAddr^.Address[5]
              ]);
          else
          IPAddr:= '<unknow>';
        end;
      Result:=IPAddr;
      finally
       WTSFreeMemory(ClientAddr);
      end;
end;

begin
  Writeln('IP Actual client '+GetIpActualClient);
  Writeln('-----------------------------------');

  GetAll_TSClientsInfo;
  Readln;
end.

更新

如@Remko所说，WTSQuerySessionInformation函数使用WTSClientAddress类型可以返回客户端的本地IP。如果您想获取真实的IP，可以使用位于JwaWinSta单元中的WinStationGetRemoteIPAddress辅助函数。

Var
Port    : Word;
IpAddr  : WideString;
Begin
WinStationGetRemoteIPAddress(WTS_CURRENT_SERVER,WTS_CURRENT_SESSION,IpAddr,Port);
End;

- RRUZ

---

需要使用WTSEnumerateSessions吗？我认为只使用"wts_Current_Session"作为会话ID就足够了。 - Rob Kennedy

要获取您自己的会话，请使用ProcessIdToSessionId。 - Ritsaert Hornstra

@Rob，你说得对，WTSEnumerateSessions函数是用来获取所有会话信息的，我发布了一个使用wts_Current_Session和WTSEnumerateSessions的示例。 ;) - RRUZ

我现在正在尝试使用WinStationGetRemoteIPaddress()方法。我在家里通过远程桌面连接到我的办公电脑。当我调用这个方法时，它返回的是我的路由器的IP地址，而不是我的本地机器的IP地址。 顺便说一句，netstat在这种情况下返回的是WORKGROUP。没有太大用处... - Vegar

@Vegar：当然有影响，你使用大多数情况下路由器或调制解调器拥有的外部IP地址建立连接。WinStationGetRemoteIPAddress返回由终端服务器报告的IP地址，并且它将与服务器上netstat的输出匹配。 - Remko

Answer 2

对于我来说，这有效，它可以获取连接机器的名称。

Environment.GetEnvironmentVariable("CLIENTNAME")

- user1366807

Answer 3

WTSQuerySessionInformation返回客户端报告的客户端IP，这可能是它的本地IP地址之一。如果您想知道连接的真实IP地址和端口，可以使用信息类WinStationRemoteAddress的WinStationQueryInformationW。 您需要使用Jedi Apilib中的我的单元JwaWinsta。

我还在同一单元中提供了一个简单的包装器：

function WinStationGetRemoteIPAddress(hServer: HANDLE; SessionId: DWORD;
  var RemoteIPAddress: WideString; var Port: WORD): Boolean;

- Remko

---

+1 @Remko 你是对的，WTSClientAddress 可以报告本地 IP 而不是真实 IP。我更新了我的答案。p.s：非常感谢你在 Jedi Api Headers 中的出色工作。;) - RRUZ

Answer 4

由于你使用的是Windows系统，可以使用netstat命令查看连接到哪些机器以及使用哪些端口，并解析出使用远程桌面端口的地址。

- AFK

---

由于远程桌面始终使用端口3389，所以这将起作用。谢谢！ - Vegar

只有当您只有一个远程连接时，这种方法才有效，否则您将无法看到哪个会话连接到了哪台远程机器。 - Ritsaert Hornstra

netstat 的输出是否受当前语言环境的影响？这可能会使字符串解析变得更加复杂。建议使用 API 解决方案，而不是依赖于外部程序和可变的输出格式。 - Rob Kennedy

是的，我同意这不是一个好的解决方案，但它是一个快速的解决方案。 - AFK

远程桌面并不总是使用端口3389，这可以由用户自定义，并且通常用于安全性，如果没有使用VPN。 - Mark Robinson

Answer 5

尝试运行qwinsta

- Rob

Answer 6

如果您想获取远程会话ID并获取通过Citrix连接的IP地址，可以使用以下方法。这是设计为在用户通过Citrix会话连接到服务器并显示/创建连接的IP地址的字符串时运行的。

// Prints out ICA or RDP session ID of current user & gets ICA session clientAddress variable

using System;
using Microsoft.Win32;

namespace ViaRegedit
{
    class Program03
    {
        static void Main(string[] args)
        {
            // Obtain an instance of RegistryKey for the CurrentUser registry 
            RegistryKey rkCurrentUser = Registry.CurrentUser;
            // Obtain the test key (read-only) and display it.
            RegistryKey rkTest = rkCurrentUser.OpenSubKey("Remote");

            foreach (string valueName in rkTest.GetSubKeyNames())
            {
                //Getting path to RDP/Citrix session ID
                string RDPICApath = "";
                if (rkTest.OpenSubKey(valueName) != null && rkTest.OpenSubKey(valueName) != null) { RDPICApath = rkTest.OpenSubKey(valueName).ToString(); }
                Console.WriteLine("Getting CurrentUser ICA-RDP path from string = " + RDPICApath);

                //Split RDPICApath to get session number
                string RDPICAnumber = RDPICApath.Substring(RDPICApath.LastIndexOf('\\') + 1);
                Console.WriteLine("Current User RDPICAnumber = " + RDPICAnumber);

                //Getting reg local machine info for Citrix based on RDP/Citrix session ID "RDPICAnumber"
                string regLocal = @"SOFTWARE\Citrix\Ica\Session\" + RDPICAnumber + @"\Connection";
                RegistryKey localKey = RegistryKey.OpenBaseKey(Microsoft.Win32.RegistryHive.LocalMachine, RegistryView.Registry64);
                RegistryKey citrixKey = localKey.OpenSubKey(regLocal);
                Console.WriteLine("Registry " + citrixKey + " Does Exist - going to get ClientAddress");
                //getting clietAddress var from citrixKey 
                string clientAddress = "";
                if (citrixKey != null && citrixKey.GetValue("clientAddress") != null)
                    {clientAddress = citrixKey.GetValue("clientAddress").ToString();}
                    Console.WriteLine("Getting current user clientAddress from string = " + clientAddress); 
            }
            rkTest.Close();
            rkCurrentUser.Close();
            Console.ReadLine();
        }
    }

}

- BrettKennard