巧用Net User 命令保护远程桌面安全

河南 刘建臣

终端服务/远程桌面是网管员们最喜爱的工具，只要登录到了终端服务/远程桌面环境中，就可以全面掌握系统控制权。终端服务的强大功能也成了黑客首选的入侵通道。如何提高终端服务的安全性，使其远离黑客的侵袭，是网管员们必须面对的问题。

黑客要想登录远程桌面，必须知晓管理员密码，如果密码设置的较简单，就很容易被黑客破解。为了安全起见，管理员需要定期修改密码，而且要符合密码复杂度要求。不过频繁修改密码，不但操作起来比较繁琐，也会给正常的维护工作带来麻烦。其实，利用系统自带的“net user”命令，就可以很轻松执行密码修改操作，产生比较复杂的随机密码。只要将更改后密码及时通知管理员，管理员就可以顺利的实现登录登录。

例如，在每天的指定时间对密码进行随机更改，就会很好的保护服务器安全。面对不断更换的随机密码，黑客是无计可施的。为了将更换后的密码及时通知管理员，可以通过发送邮件的方式来实现。

这里使用Blat 这款免费的小工具，巧妙的将“net user”命令和管理员自己的邮箱结合起来，让管理员可以同步得到新的密码，来顺利的登录远程桌面。将Blat解压到某个文件夹（例如“C:Blat”），之后打开CMD窗口，切换到该目录，执行“blat -install smtp.163.com newuser@163.com 3 25”命令，对Blat 进行配置。

在上述命令行中设置SMTP 服务器和发信人邮箱，这里使用“SMTP.163.com”作为发信服务器，“guanlyuser@163.com”作为发信人邮箱。其中的“3”为尝试发信的次数，“25”为SMTP 服务器的端口。注意，这里使用的163 邮箱需要开启SMTP 发信功能。进入您的163 邮箱后，点击菜单“设置”→“POP3/SMTP/IMAP”项，在打开窗口中选择“POP3/SMTP 服务”项，来激活SMTP发送邮件服务。注意，为了便于顺利发送邮件，在Blat的设置命令和发信命令中，最好使用相同的邮箱，这里均使用“guanlyuser@163.com”的邮箱。

在“C:Blat”文件夹创建名称为“Newpass.bat”的批处理文件，并使用记事本输入：

该批处理文件第二行作用得到当前的日期时间信息，并将其写入到名为“mail”的文本文件中，第三行的作用是随机更换Administrator 账户的登录密码，并将该密码保存在名为“mail”的文本文件尾部。最后一行的作用是使用Blat，将该文件发送到指定的邮箱中。

这里使用了名为“guanlyuser@163.com”的邮箱，邮件的主题为“新的登录密码”，“-u”参数指定邮箱账号，“-pw”参数指定邮箱密码，这里假设密码为“xxxxxx”。当然，这里针对的是Administrator 账户，如果是其他账户，也可以按照同样方法配置。为防止该批处理文件被窥视，可在该批处理文件的右键菜单中点击“属性”项，在弹出的“安全”面板中点击“删除”，删除“组或用户名称”栏中的所有组和账户。

如果有些账户不能删除，可以点击“高级”按钮，在弹出的“权限”面板中取消“从父项继承那些可以应用到自对象的权限项目，在弹出对话框中点击“删除”，就可以清除所有账户。之后点击“添加”，在“选择用户或组”窗口中点击“高级”→“查找”，在结果列表中导入“Administrator”账户，在权限列表中只勾选“读取”和“运行”项。让“Administrator”账户拥有对其读取和运行的权利。这样，其他账户就无法窥视其内容了。

在控制面板中打开“系统和安全”界面，在其中点击“计划任务”项，在计划任务窗口右侧点击“创建基本任务”项，在计划任务创建向导界面中输入任务的名称（例如“Changepass”）和描述信息，依次点击“下一步”，在“希望该任务执行什么操作”窗口中选择“启动程序”项，在下一步窗口选择执行的频率，这里选择“每天”项，点击“下一步”，设置触发的时间，因为黑客一般喜欢晚上活动，所以设置为“21:00”等时间点。

在下一步窗口中选择“启动程序”→“浏览”，选择上述“Newpass.bat”程序，连续点击“下一步”，完成本计划任务的创建操作。在左侧点击“任务计划程序库”项，双击上述任务项目，在其属性窗口中的“常规”面板中勾选“使用最高权限运行”和“隐藏”项。这样，不仅可以让计划任务顺畅启动，而且可以在后台悄然运行。

这样，当达到预设时间后，系统就自动执行上述计划任务项目，来调用上述“Newpass.bat”批处理文件，对Administrator 账户的密码进行随机更换。并将密码保存名为“mail”的文本文件，使用Blat 将该文件发送到管理员的邮箱中。管理员可以在手机上安装相关APP登录到指定邮箱，找到并查阅Blat 发送的邮件，在其中可查看到新更换的密码。

注意，新密码为系统随机产生，长度为8 位，区分大小写。虽然Blat 对中文支持的不好，但查看密码信息是没有问题的。管理员可以使用最新密码，通过远程桌面对服务器进行远控操作。