刘子栋1. 为什么需要清理远程桌面连接记录
每次使用Windows远程桌面连接(RDP)到其他计算机时，系统都会自动保存连接信息到本地。这些记录包含IP地址、用户名等敏感信息，长期积累会带来多重隐患：
-
安全风险：连接历史可能被恶意软件扫描获取，暴露内网服务器地址和账号信息。我曾遇到过客户服务器被入侵的案例，溯源发现攻击者正是通过办公电脑上的RDP记录获取了跳板机IP。
-
隐私泄露：多人共用的电脑会留下前用户的连接痕迹。去年某企业就发生过管理员离职后，新员工通过历史记录越权访问系统的安全事故。
-
配置混乱：长期积累的无效记录会导致连接管理器列表冗长，影响工作效率。实测显示，超过50条记录时，下拉列表加载会有明显延迟。
Windows默认将这些信息存储在三个位置：
- 注册表分支
HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client - 用户配置文件的
Default.rdp文件 - 凭据管理器中的登录凭证
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 手动清理方法详解
2.1 通过GUI界面清除
这是最直观的方法，适合临时快速清理：
- 打开远程桌面连接客户端（Win+R输入
mstsc） - 点击地址栏下拉箭头
- 右键要删除的记录选择"删除"
- 重复操作直到清空列表
注意：这种方法只能删除显示在UI中的记录，不会清理注册表和凭据管理器中的残留数据。
2.2 注册表彻底清理
对于顽固或大量记录，需要操作注册表：
- 以管理员身份运行
regedit - 导航至：
code复制HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\ - 删除
Default和Servers子项下的所有内容 - 对于
Servers项，需要逐个删除子项：powershell复制Get-ChildItem 'HKCU:\Software\Microsoft\Terminal Server Client\Servers' | Remove-Item -Recurse
2.3 清除凭证缓存
即使删除连接记录，凭据可能仍被保存：
- 打开控制面板 > 凭据管理器
- 切换到"Windows凭据"选项卡
- 查找包含"TERMSRV/"前缀的条目
- 逐个点击条目选择"删除"
3. 自动化清理方案
3.1 使用批处理脚本
创建clean_rdp.bat文件：
batch复制@echo off
reg delete "HKCU\Software\Microsoft\Terminal Server Client\Default" /va /f
reg delete "HKCU\Software\Microsoft\Terminal Server Client\Servers" /f
cmdkey /list | findstr "TERMSRV" >NUL && (
for /f "tokens=1,2 delims= " %%A in ('cmdkey /list ^| findstr "TERMSRV"') do (
cmdkey /delete:%%B
)
)
del /q "%USERPROFILE%\Documents\Default.rdp" 2>NUL
3.2 PowerShell高级方案
更强大的PS脚本：
powershell复制# 清除注册表项
$regPath = "HKCU:\Software\Microsoft\Terminal Server Client"
Remove-ItemProperty -Path "$regPath\Default" -Name "MRU*" -ErrorAction SilentlyContinue
Get-ChildItem "$regPath\Servers" | Remove-Item -Recurse -Force
# 清除凭据
$creds = cmdkey /list | Where-Object { $_ -match "TERMSRV" }
if ($creds) {
$creds -split "\n" | ForEach-Object {
if ($_ -match "target:(.*?) type:.*") {
cmdkey /delete:$($matches[1].Trim())
}
}
}
# 删除配置文件
$rdpFile = [System.IO.Path]::Combine([Environment]::GetFolderPath("MyDocuments"), "Default.rdp")
if (Test-Path $rdpFile) { Remove-Item $rdpFile -Force }
4. 预防性配置建议
4.1 组策略禁用记录
对于企业环境，推荐通过组策略永久禁用记录：
- 运行
gpedit.msc - 导航至：
code复制
计算机配置 > 管理模板 > Windows组件 > 远程桌面服务 > 远程桌面会话主机 > 连接 - 启用"不将计算机名和用户名填入远程桌面连接"策略
4.2 修改注册表默认行为
手动修改注册表项：
code复制[HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client]
"DisableConnectionSharing"=dword:00000001
"DisableCredentialsDelegation"=dword:00000001
4.3 使用第三方工具
推荐工具及特点对比：
| 工具名称 | 清理范围 | 是否需要管理员 | 额外功能 |
|---|---|---|---|
| RDPCacheCleaner | 注册表+文件 | 否 | 备份恢复 |
| BleachBit | 全系统清理 | 部分需要 | 隐私保护 |
| CCleaner | 基础清理 | 否 | 系统优化 |
5. 疑难问题排查
5.1 记录删除后自动恢复
可能原因：
- 组策略强制记录连接信息
- 用户配置文件没有正确加载
- 第三方远程桌面工具干扰
解决方案：
- 检查
gpresult /h report.html输出 - 创建新用户配置文件测试
- 使用Process Monitor监控注册表写入
5.2 权限不足错误
当出现"无法删除项"错误时：
- 获取注册表项所有权：
powershell复制Takeown /f 'HKCU\Software\Microsoft\Terminal Server Client' /r - 重置权限：
powershell复制icacls 'HKCU\Software\Microsoft\Terminal Server Client' /reset /t
5.3 残留项检测技巧
使用RegShot工具对比清理前后注册表快照，或运行：
cmd复制reg query "HKCU\Software\Microsoft\Terminal Server Client" /s | findstr /i "server"
6. 企业级部署方案
对于需要批量管理的企业环境：
6.1 登录脚本部署
- 将清理脚本放入网络共享
- 通过组策略用户登录脚本调用：
xml复制<UserConfiguration> <WindowsSettings> <Scripts> <Logon> <Script></Script> </Logon> </Scripts> </WindowsSettings> </UserConfiguration>
6.2 SCCM合规基线
创建配置项检测脚本：
powershell复制$regKeys = @(
"HKCU:\Software\Microsoft\Terminal Server Client\Default",
"HKCU:\Software\Microsoft\Terminal Server Client\Servers"
)
foreach ($key in $regKeys) {
if (Test-Path $key) {
if ((Get-ChildItem $key).Count -gt 0) {
exit 1 # 不符合
}
}
}
exit 0 # 符合
6.3 审计与监控
建议部署SIEM规则监控以下事件ID：
- 4657：注册表项删除
- 4663：注册表值访问
- 4688：进程创建（监控reg.exe操作）
我在实际企业环境中发现，最佳实践是结合定时任务（每天下班后运行）和登录脚本双重保障，同时配合EDR解决方案监控异常访问行为。对于高安全要求环境，还可以考虑使用AppLocker限制mstsc.exe的启动参数。