关键是要先查后断、层层设防：一查异常行为与登录日志，二扫3389/5900/5938/7070/10086等远控端口，三同步关闭远程桌面设置、禁用相关服务、修改注册表fDenyTSConnections为1、防火墙封堵端口，四清理启动项、全盘杀毒、重置策略并强化密码。
要识别并阻断 windows 中的非法远程连接，关键不是只关一个开关，而是“先查后断、层层设防”。很多用户以为关掉系统设置里的远程桌面就安全了，其实后台服务、注册表项、防火墙规则、甚至第三方远控软件都可能绕过这层控制。下面分四步说清楚怎么干。
一、快速自查是否已被远程控制
别等出事再行动。以下异常现象出现任意一项，就要立即排查：
- 鼠标无故移动、窗口自动切换、键盘输入被拦截
- 摄像头或麦克风指示灯在未使用时亮起
- 网络占用持续偏高（尤其在空闲时），任务管理器中“性能”→“以太网/Wi-Fi”显示稳定上传流量
- 电脑变卡顿，但CPU/内存占用不高——可能是远控木马在后台静默运行
确认方法：按 Win + R 输入 eventvwr.msc，打开事件查看器 → 左侧展开“Windows 日志”→“安全”，筛选事件ID 4624，重点看“登录类型”为 10（远程交互式登录）的记录，其“源网络地址”就是连接来源IP。
二、扫描正在监听的远控端口
RDP默认用3389，但向日葵常用10086、AnyDesk用7070、TeamViewer用5938、VNC常用5900——这些端口只要在监听，就存在风险。
操作步骤：
- 以管理员身份运行命令提示符或 PowerShell
- 执行：netstat -ano | findstr ":3389 :5900 :5938 :7070 :10086"
- 若返回含 LISTENING 的行，记下末尾的 PID 数字
- 再执行：tasklist /fi "pid eq XXXX"（把XXXX换成实际PID），查出是哪个进程在用该端口
- 右键任务管理器中该进程 → “打开文件所在的位置”，路径若不在 C:\Windows\System32 或正规软件安装目录，高度可疑
三、一次性阻断所有远程入口
单点关闭容易遗漏，必须多层同步生效：
- 系统设置层面：设置 → 系统 → 远程桌面 → 关闭“启用远程桌面”
- 系统属性层面：右键“此电脑”→ 属性 → 远程设置 → 取消勾选“允许远程协助”，并选中“不允许远程连接到此计算机”
-
服务层面：运行 services.msc → 找到并禁用以下服务：
Remote Desktop Services、Remote Desktop Configuration、Remote Desktop Services UserMode Port Redirector、Remote Registry - 注册表层面：运行 regedit → 定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server → 将 fDenyTSConnections 的值改为 1（如不存在，新建 DWORD 32位，命名为该名称并赋值为1）
- 防火墙层面：运行 wf.msc → 入站规则 → 新建规则 → 选择“端口”→ TCP → 特定本地端口填 3389,5900,5938,7070,10086 → 动作选“阻止连接”
四、清理残留与加固防护
阻断只是开始，还得防止反弹和二次入侵：
- 检查启动项：任务管理器 → 启动选项卡 → 禁用所有非必要、无签名、描述模糊的项目
- 扫描恶意软件：用 Windows Defender 全盘扫描（确保病毒库已更新），再辅以 Malwarebytes 或火绒深度查杀
- 重置远程相关策略：专业版用户可运行 gpedit.msc → 计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 连接 → 启用“禁止使用远程桌面服务连接”
- 修改账户密码：尤其是 Administrator 和常用账户，改用强密码（大小写字母+数字+符号，8位以上），并在 secpol.msc 中启用“密码必须符合复杂性要求”
做完这些，非法远程连接基本失去落脚点。重点在于服务禁用+注册表锁定+防火墙封端口这三项必须同时到位，缺一不可。
