Win10怎么查看谁远程登录过我的电脑？三种可靠方法

很多人以为电脑关着盖子就没人能动，查程登直到发现桌面图标位置变了、看远可靠浏览器多出陌生账号，录过才意识到可能有人远程连过。脑种Windows 10 默认会记录登录与远程连接行为，查程登只是看远可靠这些记录散落在事件查看器、注册表和命令行工具里，录过普通用户很少主动去看。脑种本文按“先看最直接的查程登记录、再查历史登录、看远可靠最后判断是录过否被真正远程控制”的顺序，给出可逐步照做的脑种排查方法，并说明哪些情况属于正常系统行为、查程登哪些需要立刻处理。看远可靠

需要先明确一个概念：远程登录通常分两类。录过一类是同一局域网或互联网通过远程桌面协议（RDP，默认端口 3389）连进来；另一类是有人坐在你电脑前用你的账号登录。前者会在系统日志中留下专门的连接记录，后者只留下登录审计。搞清这一点，后面的排查方向才不会被带偏。

方法一：用事件查看器查远程桌面连接记录

这是最直接、信息最全的方式，前提是系统开启了远程桌面功能。按下 Win+R，输入 eventvwr.msc 回车，打开“事件查看器”。在左侧依次展开“应用程序和服务日志”→“Microsoft”→“Windows”→“RemoteDesktopServices-RdpCoreTS”→“Operational”。右侧列表中，事件 ID 为 131 的记录表示“接受了来自某 IP 的连接”，事件 ID 为 98 通常表示连接成功建立。双击任意一条，切到“详细信息”标签，能看到来源 IP 地址和时间戳。如果这里的记录是空的，说明系统从未接受过 RDP 连接，或者相关日志已被清理。

另一条路径是“Windows 日志”→“安全”，筛选事件 ID 4624（登录成功）和 4625（登录失败）。4624 的“登录类型”字段很关键：类型 2 是本机键盘登录，类型 3 是网络共享访问，类型 10 才是通过远程桌面登录。看到类型 10 且来源地址不是你自己常用的设备，就要提高警惕。类型 3 有时也会被误判，比如你访问了自己的共享文件夹，这类属于正常行为，不必惊慌。

方法二：用命令行快速筛查登录与连接痕迹

不想在图形界面里一层层点，可以用命令直接拉取。右键开始菜单，选择“Windows PowerShell（管理员）”或“命令提示符（管理员）”，输入 query user 回车，能看到当前所有已登录会话，包括会话名、用户名、登录时间和状态。如果出现你不认识的用户名或一个多余的会话，值得进一步核查。

想看历史记录，输入 wevtutil qe Security /q:"*[System[(EventID=4624)]]" /c:20 /rd:true /f:text，它会列出最近 20 条登录成功事件。逐条看“登录类型”和“源网络地址”两个字段即可。此外，在注册表编辑器中定位到 HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default，这里保存的是你这台电脑主动去连别人的历史记录，不是别人连你的记录，方向别搞反。要查别人连你，重点还是前面的事件查看器和安全日志。

方法三：确认远程桌面是否被开启，以及失败时怎么办

很多“疑似被远程”其实只是远程桌面功能一直开着。进入“设置”→“系统”→“远程桌面”，看开关状态。如果你根本用不到这个功能，直接关闭是最省事的防护。关闭后，即使有人知道你的账号密码，也无法通过 RDP 连入。家庭版 Windows 10 默认不支持被远程桌面连接，但可能安装了第三方远程工具，这时要检查已安装程序列表里有没有 TeamViewer、AnyDesk、向日葵等，并查看它们的连接日志。

如果事件查看器里确实有陌生 IP 的成功登录记录，处理顺序建议是：先立刻修改微软账户和本机账户密码，再关闭远程桌面，然后检查是否被新建了隐藏账户（命令行输入 net user 查看全部账户）。若怀疑系统被植入远控程序，用 Windows 安全中心做一次完整扫描，并考虑断开网络后再操作。需要说明的是，日志记录的时间和 IP 是否可追溯到具体个人，取决于网络环境与运营商，本文只能帮你判断“有没有发生”，无法替代平台的官方调查结论。

几个容易被忽略的核对点

总结一下可执行的动作：先用事件查看器筛选 RemoteDesktopServices 日志和 4624 中的类型 10，确认有没有真正的远程桌面登录；再用 query user 和 net user 核对当前会话与账户；最后按需关闭远程桌面、修改密码、扫描系统。平时把远程桌面保持关闭、不使用第三方远控时退出登录，比事后翻日志更省心。涉及具体日志字段含义，以你系统实际界面和微软官方文档为准。