全球主机交流论坛

标题: Windows的IPBan无法获取VNC登录日志 [打印本页]
作者: nako    时间: 2021-3-18 16:26
标题: Windows的IPBan无法获取VNC登录日志
本帖最后由 nako 于 2021-3-18 18:01 编辑

VNC版本6.3.2
Windows LTSC
https://github.com/DigitalRuby/IPBan

默认配置文件内容节选是：
  1.       <!-- This group will notify login successes from VNC to Windows -->
  2.       <Group>
  3.         <Source>VNC</Source>
  4.         <Keywords>0x80000000000000</Keywords>
  5.         <Path>Application</Path>
  6.         <Expressions>
  7.           <Expression>
  8.             <XPath>//EventID</XPath>
  9.             <Regex>^257$</Regex>
  10.           </Expression>
  11.           <Expression>
  12.             <XPath>//Data</XPath>
  13.             <Regex>
  14.               <![CDATA[
  15.                 Authentication\spassed\sby\s(?<ipaddress>.+)
  16.               ]]>
  17.             </Regex>
  18.           </Expression>
  19.         </Expressions>
  20.       </Group>
复制代码


默认配置不成功后我根据事件查看器更改了下ID和匹配内容
  1.       <!-- This group will notify login successes from VNC to Windows -->
  2.       <Group>
  3.         <Source>VNC</Source>
  4.         <Keywords>0x80000000000000</Keywords>
  5.         <Path>Application</Path>
  6.         <Expressions>
  7.           <Expression>
  8.             <XPath>//EventID</XPath>
  9.             <Regex>^256$</Regex>
  10.           </Expression>
  11.           <Expression>
  12.             <XPath>//Data</XPath>
  13.             <Regex>
  14.               <![CDATA[
  15.                 Connections
  16.               ]]>
  17.             </Regex>
  18.           </Expression>
  19.         </Expressions>
  20.       </Group>
复制代码


匹配内容还尝试过(Connections)或者Connections或者authenticated.*什么的，尝试连接VNC，IPBan日志还是没反应，求助大家，谢谢。


以下是Windows日志里的事件查看器内容：（下段xml复制粘贴后缩进有问题

  1. - <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  2. - <System>
  3.   <Provider Name="VNC Server" />
  4.   <EventID Qualifiers="0">256</EventID>
  5.   <Level>4</Level>
  6.   <Task>1</Task>
  7.   <Keywords>0x80000000000000</Keywords>
  8.   <TimeCreated SystemTime="2021-03-18T08:17:26.387985300Z" />
  9.   <EventRecordID>36464</EventRecordID>
  10.   <Channel>Application</Channel>
  11.   <Computer>abcde</Computer>
  12.   <Security />
  13.   </System>
  14. - <EventData>
  15.   <Data>Connections</Data>
  16.   <Data>authenticated: 192.168.2.25::12811, as (anonymous) (d permissions)</Data>
  17.   </EventData>
  18.   </Event>
复制代码
作者: nako    时间: 2021-3-18 18:01
很少人用这个吗
作者: nako    时间: 2021-3-19 20:56
解决方案：调节VNC失败黑名单及黑名单超时时间



欢迎光临 全球主机交流论坛 (https://loc.mjj8.eu.org/) Powered by Discuz! X3.4