teamviewer日志请教

Question

请教一下，日志中出现WTS REMOTE CONNECT时，我的电脑是在维修点，不在我手里，那几天出现过好几次这个REMOTE CONNECT,另外，每次这个remote connect 和 remote disconnect的时间间隔大约就是几秒钟的时间，烦请大家帮忙看一下，下面图片是我拿回来电脑之前最后一次出现链接的记录，如果是修电脑的人员曾经有过远程连接，从日志看是否已经解除了链接？谢谢！
（另外，这个teamviewer是否只要卸载并查杀一下就没有什么事了，购机前teamviewer是别人装的，我也不知道用户名和密码，是不是只要卸载了就可以，也不用管用户名密码了？）

Answer 1

让【宝码香车】来帮你解答，本回答参考DeepSeek编写，并整理提供。

如果还有疑问可以点击头像关注私信或评论。如果答案让您满意，请采纳、点赞、关注，非常感谢！

若您愿意支持，欢迎直接打赏，将不胜感激！
.

根据提供的TeamViewer日志和问题描述，以下是详细分析和建议：

---

一、日志关键信息分析

1. 远程连接记录：
   • 日志中出现WTS_REMOTE_CONNECT表示建立了远程连接，WTS_REMOTE_DISCONNECT表示连接断开。
   • 从时间间隔看（几秒钟），可能是短时探测或连接尝试，而非持续控制。

1. 连接状态确认：

sequenceDiagram
    participant 维修点电脑
    participant TeamViewer服务器
    维修点电脑->>TeamViewer服务器: WTS_REMOTE_CONNECT
    TeamViewer服务器-->>维修点电脑: 建立连接
    维修点电脑->>TeamViewer服务器: WTS_REMOTE_DISCONNECT
    Note right of TeamViewer服务器: 连接已终止

• 所有DISCONNECT记录表明远程会话已结束，无持续活跃连接。

1. 其他关键日志：
   • DEVICE ISN'T A MANAGED DEVICE：设备未被TeamViewer后台托管。
   • Exception caught when querying user：可能因系统权限或会话状态异常导致。

---

二、安全处理建议

1. 立即卸载TeamViewer：

# 通过PowerShell彻底卸载
Get-WmiObject -Class Win32_Product | Where-Object {$_.Name -like "*TeamViewer*"} | ForEach-Object { $_.Uninstall() }

1. 清理残留文件：
   • 手动删除以下目录：

 ```
 C:\Program Files (x86)\TeamViewer
 C:\Users\<用户名>\AppData\Local\TeamViewer
 C:\Users\<用户名>\AppData\Roaming\TeamViewer
 ```

1. 检查系统账户（可选）：

# 查看最近登录的账户（需管理员权限）
net user
wevtutil qe Security /rd:true /f:text /q:"*[System[EventID=4624]]"

1. 密码重置建议：
   • 虽然卸载后TeamViewer无法远程访问，但仍建议：
     • 修改电脑登录密码。
     • 启用防火墙（netsh advfirewall set allprofiles state on）。

---

三、后续防护措施

1. 日志监控：
   • 定期检查Windows事件日志（eventvwr.msc），筛选事件ID：
     • 4624（登录成功）
     • 4648（显式凭证登录）

1. 替代远程工具建议：
   • 如需远程控制，改用更安全的方案如：
     • Windows远程桌面（需配置NAT/防火墙）
     • 开源工具RustDesk。

---

四、总结回答

1. 维修点连接状态：日志显示远程连接已完全终止，无残留会话。
2. 卸载有效性：卸载TeamViewer后，无需担心用户名密码泄露问题。
3. 附加建议：可运行杀毒软件（如Malwarebytes）全盘扫描，确保无其他后门。