如何检查 session 是否在 Windows 终端服务器中被遮蔽

Question

假设以下场景：

1. 我使用 RDP 登录终端服务器（Windows Server 2012 R2 或 2016）
2. 另一个用户使用“mstsc.exe /shadow”命令连接到我的 session。
3. 我收到确认此访问权限的消息，我同意。
4. 然后，过了一会儿，我想检查一下我的 session 是否仍然被遮挡。

有什么方法可以执行此检查吗？ 任何命令，Win32 API，WMI 查询？ 到目前为止，我只能发现rdpsaproxy.exe程序是在阴影 session 中启动的。 这几乎足够了，但是当用户在提示接受初始阴影请求时拒绝访问时，该程序也会继续运行。 因此，在检查 session 中检测到 rdpsaproxy 的存在并不足以说有人在监视我。

Answer 1

您可以将通知任务绑定到 Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational 事件日志的事件：

• 20503 - 影子观察开始
• 20504 - 影子观察停止
• 20506 - 阴影控制开始
• 20507 - 阴影控制停止