我们有一台机器是公网机器，有次突然adminstrator 口令不对，好不容易改了。今天突然远程桌面一连就断了，上服务器一看，任务管理器中的用户标签页多了个Guest 用户，再到用户中一看，Guest用户有adminstrator 权限。这明显是被黑了。

执行：

for /f "skip=1 tokens=3,4 delims=: " %a in ('netstat -an^|findstr 3389') do @(if "%a" equ "3389" echo %b)

发现地址为 112.251.0.162 远程连着，这是湖南电信的IP

最后，把Guest 禁用了。那小子也可能发现不对，退出远程桌面。