Windows远程裸奔等着被爆破给Windows加上手机动态码锁开源免费一台公网 Windows 服务器远程桌面只靠账号密码守门等于把家门钥匙放在脚垫下面。今天教你用一款开源免费工具给 RDP 加一道手机动态验证码——密码就算泄露了攻击者也进不来。全程十几分钟。凌晨三点谁在敲你服务器的门先说个真实场景。很多人部署 Windows 服务器图省事就把 3389 端口往公网一开密码设得复杂一点心里就踏实了。然后某天翻安全日志会发现一堆凌晨两三点的登录失败记录——来源 IP 遍布全球用户名是 Administrator、admin、test 轮着试。这不是有人在针对你。互联网上存在大量自动化扫描器7×24 小时在扫公网开放的 3389 端口撞库、爆破、弱密码字典轮番上阵。密码一旦被撞出来服务器就是人家的了。更现实的是——勒索软件团伙最爱的入口之一就是暴露在公网的 RDP。所以问题不是会不会被盯上而是什么时候被盯上。为什么强密码已经不够用了很多人觉得我密码 16 位、大小写数字符号齐全够了吧说实话单靠密码这件事本身在今天就已经过时了。原因很简单——密码是个静态凭证你不知道它在哪个第三方网站泄露过撞库攻击会拿别处泄露的密码来试你弱密码字典能覆盖大部分人的设置习惯一旦泄露攻击者拿到就是完整权限双因素认证2FA解决的就是这个问题密码是你知道的东西而动态码是你拥有的东西。两个都要有才能进门。TOTP 到底是个啥不用被术语吓到原理特别朴素。TOTPTime-based One-Time Password就是基于时间的一次性密码。它拿一个共享密钥 当前时间做运算每 30 秒生成一个 6 位数字。你手机上的认证器和服务器各算各的两边结果对得上就放行。由于时间一直在变这个码用过就废下次登录又是新的。攻击者就算截获了一次也没用。手机可以在各大应用商店下载。常见认证器都能用腾讯身份验证器Microsoft AuthenticatorGoogle Authenticator2FAS装完之后登录流程从一步变两步账号 → 密码 → 手机动态码 → 进入系统能防住什么密码泄露、暴力破解、撞库攻击、弱密码——传统密码最怕的这几件事基本都被堵死了。用什么工具multiOTP今天要用的工具叫multiOTP Credential Provider一款开源免费的 Windows 登录凭据提供程序Apache 2.0 协议商用无忧目前版本5.10.2.2。它最打动我的地方是三个字不折腾。市面上很多 2FA 方案要搭 Radius 服务器、配 LDAP、搞域控策略光环境准备就能劝退一半人。而 multiOTP直接集成在 Windows 登录界面里本地完成校验不需要 Radius不需要 LDAP不需要额外认证服务器一台 Windows 自己就能跑兼容性也没问题Windows 10 / 11以及 Windows Server 2012 R2 一路到 2025本地账户、域账户都支持。动手之前先记住这条铁律这部分请读完再操作别跳。安装完成并重启后RDP 登录会立刻开始索要验证码。如果你还没配好 Token 就重启了而这台机器又只有 RDP 一种登录方式——那你就把自己关在门外了。所以装之前请务必确认这台服务器至少有一条非 RDP 的登录通道兜底VMware Console / Hyper-V ConsoleVNCiDRAC / iLO / IPMI物理服务器接个物理显示器只有 RDP 一条路的机器千万别直接装。这不是危言耸听,是运维圈交过学费的坑。三步走十几分钟搞定第一步装 VC 运行库先装 VC 运行库微软官方直链永久链接自动指向最新版x6464 位服务器装这个https://aka.ms/vc14/vc_redist.x64.exex8632 位https://aka.ms/vc14/vc_redist.x86.exe这是前置依赖不装的话后面会直接报 DLL 缺失错误。两个提醒一是VC 2017 之后2019 / 2022 / 2026共用同一套运行库文件装最新这一个就行不用按年份挨个装二是Visual Studio 2015 的运行库已于 2025 年 10 月停止支持别再去搜2015-2022 版的老包了。第二步安装multiOTP两个选项别点错下载地址https://github.com/multiOTP/multiOTPCredentialProvider/releasesmultiOTPCredentialProvider-5.10.2.2.zip 解压得到multiOTPCredentialProviderInstaller.msi安装包运行安装包一路 Next但有两个地方千万别闭眼点① 勾选 “No remote server, local multiOTP only”这就是本地模式——不依赖 Radius/LDAP自己跟自己校验。登录界面标题可以自定义随便填。② 验证范围选 “Only Remote”意思是本地登录不要验证码只有 RDP 远程登录才要。这个配置对服务器来说是最稳的。万一手机丢了、Token 出问题你还能通过 VNC、IPMI、本地控制台进系统抢救不至于把自己彻底锁死。选完重启服务器。第三步生成 Token扫码绑定重启后先别用 RDP走 VNC / IPMI / 控制台进去管理员身份开 CMDcdC:\Program Files\multiOTP① 给 Administrator 生成密钥.\multiotp.exe-fastcreatenopinAdministrator② 生成二维码.\multiotp.exe-qrcodeAdministrator Administrator.png在C:\Program Files\multiOTP木有中找到二维码用app扫描③ 手机认证器扫码完成绑定。④ 验证一下把 123456 换成手机当前的 6 位码.\multiotp.exe Administrator123456APP上的048196⚠️ 注意这条命令没有任何输出才是验证成功。别以为卡住了。多用户也没问题每个 Windows 账户都有自己的 Secret分别生成、分别扫码就行。装完之后长这样以后远程桌面登录输完账号密码会自动多弹一步One-Time Password——把手机上的 6 位码填进去才放行。多出来的这 5 秒钟换来的是密码泄露也进不来的安全感。踩坑速查验证码一直提示错误九成是时间不同步。TOTP 完全靠时间算服务器和手机差太多必挂。按这个顺序查Windows 系统时间对不对手机时间是不是自动同步的扫的是不是最新生成的那张二维码有没有重复执行过生成命令会覆盖旧 Secret服务器时间可以用这条命令强制同步w32tm /resync本地登录也要验证码吗按推荐配置选了 Only Remote本地就不用只有 RDP 要。手机丢了怎么办只要还留着 VNC / IPMI / 本地控制台任一通道进去重新生成 Token 或直接卸载即可。所以那句话值得再说一遍留好本地通道。光加 TOTP 还不够最后说点实在的——TOTP 很强可以做到以下防护。真想防住 RDP 攻击建议把这几层一起做上限制来源 IP能用白名单就别对全网开放强制网络级别认证NLA让认证发生在建立完整会话之前账户锁定策略连续失败 N 次就锁把爆破成本拉高改默认端口虽然只是防君子但能挡掉大部分无差别扫描登录审计失败日志要有人看异常登录要能告警定期打补丁RDP 本身的历史漏洞不少想想 BlueKeepTOTP 加上这几层基本上绝大多数针对 RDP 的自动化攻击都会被挡在门外。卸载控制面板 → 程序和功能 → 找到 multiOTP Credential Provider → 卸载 → 重启。最后云服务器、运维跳板机、企业内部 Windows Server——只要是开了 RDP 的 Windows我都建议安排上。开源免费、不用额外服务器、十几分钟部署完这个投入产出比在安全加固里算得上是极高的一档了。下载方式GitHub 搜索multiOTP/multiOTPCredentialProvider官方下载页download.multiotp.net/credential-provider/认准 5.10.2.2 版本动手前再默念一遍留好本地通道再装。你服务器开 RDP 了吗日志里有没有见过凌晨三点的敲门声评论区聊聊。