東暘遂自稱總兵，奉哱拜為謀主，承恩、許朝為左右副將，哱雲、文秀為左右參將，當下分道四出，陷玉泉營及廣武，連破漢西四十七堡。惟文秀進圍平鹵，守將蕭如薰，率兵登陴，誓死固守。如薰妻楊氏，係總督楊兆女，語如薰道：“汝為忠臣，妾何難為忠臣婦。”可入女誡。遂盡出簪珥，慰勞軍士妻女，由楊氏親自帶領，作為一隊娘子軍，助兵守城，文秀攻圍數月，竟不能下。東暘複分兵過河，欲取靈州，且誘河套各部，願割花馬池一帶，聽他駐牧，勢甚猖獗。總督尚書魏學曾，飛檄副總兵李昫，權署總兵，統師進剿。昫遣遊擊吳顯、趙武、張奇等，轉戰而西，所有漢西四十七堡，次第克複。惟寧夏鎮城，尚為賊據。河套部酋著力兔，帶領番兵三千騎，來援東暘，進屯演武場。東暘益掠城中子女，饋獻套部，套人大悅，揚言與哱王子已為一家，差不多有休戚與共的情形。哱雲引著力兔再攻平鹵，蕭如薰伏兵南關，佯率羸卒出城，挑戰誘敵。哱雲仗著銳氣，當先馳殺，如薰且戰且行，繞城南奔。看看南關將近，一聲號炮，伏兵盡發，將哱雲困在垓心，四麵注射強弩，霎時間將哱雲射死。著力兔尚在後隊，聞前軍被圍，情知中計，遂麾眾北走，出塞遁去。利則相親，害則相舍，外人之不足恃也如此。朝旨特擢蕭如薰為總兵，調麻貴為副總兵，進攻寧夏，並賜魏學曾尚方劍，督軍恢複，便宜行事。
禦史梅國楨，保薦李成梁子如鬆，忠勇可任，乃命如鬆總寧夏兵，即以國楨為監軍。會寧夏巡撫朱正色，甘肅巡撫葉夢熊，均先後到軍，並逼城下。學曾與夢熊定計，毀決黃河大壩，用水灌城。內外水深約數尺，城中大懼，由許朝縋城潛出，徑謁學曾，願悔罪請降，學曾令還殺哱拜父子，方許贖罪。許朝去後，杳無音信，如鬆遣騎四探，忽聞套部莊禿賴及卜失兔，糾合部落三萬人，入犯定邊小鹽池，別遣萬騎從花馬池西沙湃口，銜枚疾入，為哱拜聲援。那時如鬆飛報學曾，學曾才知他詐降緩兵，亟遣副總兵麻貴等，馳往迎剿，方將套眾擊退。既而著力兔複率眾萬餘，入李剛堡，如鬆等複分兵邀擊，連敗套眾，追奔至賀蘭山，套眾盡遁。官軍捕斬百二十級，懸諸竿首，徇示寧夏城下，守賊為之奪氣。獨監軍梅國楨，與學曾未協，竟劾他玩寇誤兵，遂致逮問，由葉夢熊代為督師。夢熊下令軍中，先登者賞萬金，嗣是人人思奮，勉圖效力。過了五日，水浸北關，城崩數丈，承恩、許朝等，忙趨北關督守。李如鬆、蕭如薰，潛領銳卒掩南關，總兵牛秉忠，年已七十，奮勇先登。梅國楨大呼道：“老將軍且先登城，諸君如何退怯？”言甫畢，但見各將校一麾齊上，肉薄登城，南關遂下。承恩等惶急非常，急遣部下張傑，縋城出見，求貸一死。夢熊佯為允諾，仍然大治攻具。監軍梅國楨，日夕巡邏，嚴行稽察。一日將晚，正在市中巡行，忽有歌聲一片，洋洋入耳。其詞道：
癰不決，毒長流。巢不覆，梟常留。兵戈未已我心憂，我心憂兮且賣油。
國楨聽著，不禁詫異起來，便諭軍士道：“何人唱歌，快與我拘住！”軍士奉命而去。未幾即拿到一人，國楨見他狀貌非凡，便問他姓氏職業。那人答道：“小人姓李名登，因業儒不成，轉而習賈。目今兵戈擾攘，無商可販，隻好沿街賣油，隨便糊口。”此子頗似伍子胥。國楨道：“你所唱的歌詞，是何人教你的？”李登道：“是小人隨口編成的。”國楨暗暗點頭，複語道：“我有一項差遣，你可為我辦得到麼？”李登道：“總教小人會幹，無不效力。”國楨乃親與解縛，賜他酒食，授以密計，並付劄子三道，登受命馳去，縛木渡東門，入見承恩道：“哱氏曾有安塞功，監軍不忍駢誅，特令登齎呈密劄，給與將軍。將軍如聽登言，速殺劉許自贖，否則請即殺登。”斬釘截鐵，足動悍番之心。承恩沉吟半晌，旋即許諾。登趨而出，又從間道詣劉、許營。亦各付密劄道：“將軍本係漢將，何故從哱氏作亂，甘心嬰禍？試思鎮卒幾何，能擋大軍？將軍所恃，不過套援，今套部又已被逐，區區杯水，怎救車薪？為將軍計，速除哱氏，自首大營，不特前愆可免，且有功足賞哩。”與劉許言，又另具一種口吻，李登洵不愧說客。劉、許二人亦覺心動。與登定約。登遂回營報命。