当有远程主机通过3389登陆服务器时，如何发现并记录呢？下面这个脚本可以帮助我们。
脚本：date /t >>RDPlog.txt
time /t >>RDPlog.txt
netstat -n -p tcp | find ":3389">>RDPlog.txt
把上面的这三句保存为bat文件，在计划任务中设为一登陆就运行就可以了。
第一行代码用于记录用户登录的日期，“date /t”的意思是返回系统日期，使用追加符号“>>”把这个时间记入“RDPlog.txt”作为日志的日期字段；第二行代码用于记录用户登录的时间，“time /t”的意思是返回系统时间，使用追加符号“>>”把这个时间记入“RDPlog.txt”作为日志的时间字段;第三行代码记录终端用户的IP地址，“netstat”是用来显示当前网络连接状况的命令，“-n”用于显示IP和端口，“-p tcp”显示TCP协议，管道符号“|”会将“netstat”命令的结果输出给“find”命令，再从输出结果中查找包含“ 3389”的信息并记入RDPlog.txt文件。
脚本：date /t >>RDPlog.txt
time /t >>RDPlog.txt
netstat -n -p tcp | find ":3389">>RDPlog.txt
把上面的这三句保存为bat文件，在计划任务中设为一登陆就运行就可以了。
第一行代码用于记录用户登录的日期，“date /t”的意思是返回系统日期，使用追加符号“>>”把这个时间记入“RDPlog.txt”作为日志的日期字段；第二行代码用于记录用户登录的时间，“time /t”的意思是返回系统时间，使用追加符号“>>”把这个时间记入“RDPlog.txt”作为日志的时间字段;第三行代码记录终端用户的IP地址，“netstat”是用来显示当前网络连接状况的命令，“-n”用于显示IP和端口，“-p tcp”显示TCP协议，管道符号“|”会将“netstat”命令的结果输出给“find”命令，再从输出结果中查找包含“ 3389”的信息并记入RDPlog.txt文件。