本 Skill 提供 RDP 服务（3389 端口）渗透测试方法论，按阶段给出操作思路与工具用法。
【用途】 当扫描发现 3389 端口开放、需要测试 RDP 认证强度、枚举域信息，或进行会话劫持时触发。整体决策树从发现端口开放开始，依次经过服务发现、凭据攻击、会话劫持、已知漏洞、后渗透技巧五个阶段。
【主要能力】 Phase 1 服务发现：使用 Nmap 脚本综合扫描（rdp-enum-encryption、rdp-vuln-ms12-020、rdp-ntlm-info）获取加密方式、DoS 漏洞与 NTLM 信息；用 rdp-enum-encryption 检查安全层与加密；用 nxc rdp 快速认证检查并报告 NLA 是否要求；NLA 未启用时可无认证截图。判断要点：NLA 未启用利于未认证信息收集与 BlueKeep 利用；NTLM 信息泄露可获取 Windows 版本、域名、主机名。
Phase 2 凭据攻击：密码喷洒（crowbar、hydra），已知凭据验证（impacket rdp_check、rdesktop、xfreerdp），Pass-the-Hash（xfreerdp /pth:）。给出凭据攻击决策树，覆盖有用户名列表、有 NTLM 哈希、有域凭据等路径，并列举常见弱密码模式。
Phase 3 会话劫持：需 SYSTEM 权限，用 query user 枚举活跃会话，用 tscon <ID> /dest:<SESSION> 劫持（会踢掉原用户），或用 Mimikatz 的 ts::sessions、ts::remote /id: 作为替代。
Phase 4 已知漏洞：CVE-2019-0708（BlueKeep，Windows 7/2008 R2 pre-auth RCE，Metasploit 模块 exploit/windows/rdp/cve_2019_0708_bluekeep_rce，NLA 未启用时利用更可靠）；CVE-2012-0002（MS12-020，RDP DoS/潜在 RCE，影响 Windows XP/2003/Vista/7/2008）；NLA 降级攻击场景（中间人强制降级并截获凭据）。
Phase 5 后渗透：RDP Shadow（qwinsta、mstsc /shadow 查看或控制其他会话，可查 Shadow 策略注册表项）；Sticky Keys/Utilman 后门（替换 sethc.exe/utilman.exe 为 cmd.exe，附搜索已被后门化 RDP 的工具链接）；RDP 进程注入；RDP 虚拟通道隧道（rdp2tcp 复用 TCP 转发）；将用户加入 Remote Desktop Users 组。
【使用方式】 各阶段均给出可直接执行的命令与参考决策树；深入参考（RDP 枚举、会话劫持、Shadow 攻击、隧道、工具详细用法）指向 references/rdp-techniques.md。
【适用场景】 授权渗透测试中的 RDP 安全评估、认证强度检查、域信息枚举与受控环境下的会话劫持验证。
【限制与注意事项】 RDP 爆破可能导致账户锁定，务必低速、少量尝试；会话劫持需要 SYSTEM 权限；BlueKeep 利用前提是目标系统未打补丁且 NLA 未启用时更可靠；Shadow 功能需策略允许，无同意方式仅在策略允许时可用。上述命令仅应在合法授权范围内使用。