Windows系统日志视图管理-如何查看计算机日志

Windows系统日志简介

Windows操作系统将在其生命周期内记录大量日志信息. 这些日志信息包括: Windows事件日志（事件日志），Windows服务器系统IIS日志，FTP日志，Exchange Server邮件服务，MS SQL Server日志等. 在处理紧急事件时，客户建议他们需要提供可追溯性. 这些日志信息在取证和可追溯性中起着重要作用.

Windows事件日志文件实际上将内容存储在特定的数据结构中，包括有关系统，安全性和应用程序的记录. 每个记录的事件的数据结构包含9个元素（可以理解为中的字段）: 日期/时间，事件类型，用户，计算机，事件ID，源，类别，描述，数据和其他信息. 紧急响应工程师可以基于日志获取证据，以了解计算机上发生的特定行为.

查看系统日志方法，Windows系统中包含一个称为事件查看器的工具，可用于查看和分析所有Windows系统日志. 打开事件查看器方法: 开始->运行->输入eventvwr-> Enter以快速打开该工具. 使用此工具，您可以看到系统日志分为两类: Windows日志以及应用程序和服务日志. 在早期版本中，Windows日志仅包括应用程序，安全性，系统和设置. 在新版本中，添加了设置和转发事件日志（默认情况下处于禁用状态）.

系统中内置的三个核心日志文件（系统，安全性和应用程序）的默认大小为20480KB（20MB）. 当事件数据超过20MB时，默认系统将优先覆盖过期的日志记录. 其他应用程序和服务日志默认最大为1024KB. 如果超过了最大限制，则过期的日志记录将首先被覆盖.

Windows事件日志中有五种类型的事件. 所有事件都必须具有五种类型的事件之一手机怎么看电脑分类日志，并且只能有一种类型. 这五种事件分为:

信息（信息）

信息事件是指应用程序，驱动程序或服务成功运行的事件.

警告（警告）

警告事件是指不直接且不严重的问题，但会引起将来的问题. 例如，当磁盘空间不足或找不到打印机时，将记录“警告”事件.

错误（错误）

错误事件是指用户应注意的重要问题. 错误事件通常是指功能和数据的丢失. 例如，如果服务无法作为系统引导加载，则它将生成错误事件.

成功审核（成功审核）

成功的审核安全访问尝试主要是指安全日志，其中记录用户登录/注销，对象访问，特权使用，帐户管理，策略更改，详细跟踪，目录服务访问，帐户登录和其他事件，例如全部成功登录将记录为“成功审核”事件.

失败审核（失败审核）

失败的审核安全性登录尝试，例如用户无法访问网络驱动器，则该尝试将记录为失败的审核事件.

事件日志文件的存储位置（Vista / Win7 / Win8 / Win10 / Server2008 / Server 2012及更高版本）

类型事件类型说明文件名Windows日志系统包含系统进程，设备磁盘活动等. 该事件记录设备驱动程序无法正常启动或停止的失败，硬件故障，重复的IP地址，系统进程的启动，停止和暂停. System.evtx安全性包含与安全性相关的事件，例如用户权限更改，登录和注销，文件和文件夹访问，打印以及其他信息. Security.evtx

应用程序包括与操作系统安装的应用程序软件有关的事件. 事件包括错误，警告和任何应用程序需要报告的信息. 应用程序开发人员可以决定要记录哪些信息. Application.evtx

应用程序和服务日志Microsoft文件夹包含200多个Microsoft内置事件日志类别，默认情况下只有某些类型启用日志记录，例如远程桌面客户端连接，无线网络，有线网络，设备安装等. 日志. 有关详细信息，请参阅日志存储目录中的相应文件，Microsoft Office Alerts和Microsoft Office应用程序的各种警告信息（包括Word / Excel / PowerPoint等），其中包含用户在操作过程中的各种行为. 文档，并记录文件名和路径. 信息. OAerts.evtx

Windows PowerShell Windows随附的PowerShell应用程序的日志信息. Windows PowerShell.evtx

默认情况下，Internet ExplorerIE应用程序的日志信息未启用，需要通过组策略进行配置. Internet Explorer.evtx

表1事件日志的存储位置

提示: ％SystemRoot％是系统环境变量，默认值为C: \ WINDOWS.

图EVTX事件日志文件

可以使用事件查看器工具将EVTX事件日志文件导出为evtx，xml，txt和csv格式文件.

常见Windows事件分析方法

在Windows事件日志中记录的信息中，关键元素包括事件级别，记录时间，事件源，事件ID，事件描述，所涉及的用户，计算机，操作代码和任务类别. 事件ID与操作系统的版本有关. 下面列出的事件ID的操作系统是Vista / Win7 / Win8 / Win10 / Server2008 / Server 2012和更高版本:

事件ID说明1102清除审核日志4624成功登录4625帐户未能登录4768 Kerberos身份验证（TGT请求）4769 Kerberos服务票证请求4776 NTLM身份验证4672授予特殊权限4720创建用户4726删除用户4728将成员添加到在全局组中启用安全性4729从安全性全局组中删除成员4732将成员添加到启用安全性的本地组4733从启用安全性本地组的成员4756将成员添加到启用安全性的通用组4757将成员移除4719启用了安全性的通用组对系统审核策略的修改

常见Windows帐户和相关Shijain的表比较表

五个事件类型中最重要的是成功审核. 所有系统登录成功都将标记为成功审核. 每个成功的登录事件都将标记为登录类型:

登录类型描述2交互式登录（用户从控制台登录）3网络（例如: 通过网络使用访问共享网络）4批处理（保留用于批处理程序）5服务启动（服务登录）6不支持7解锁（带密码保护的屏幕保护程序的无人值守工作站）8网络纯文本（IIS服务器登录验证）10远程交互（终端服务，远程桌面，远程协助）11缓存域证书登录

表登录类型

Windows XML事件日志格式

系统事件日志的主要类型是: .evtx，.xml，.txt，.csv. 后三种文件格式已经相对了解，现在分析evtx后缀格式. 事件日志（evtx）文件是二进制格式的文件.

图evtx文件类型

文件头签名为十六进制45 6C 66 46 69 6C 65 00（ElfFile \\ x00）. Evtx文件结构包含三部分: 文件头，数据块和结尾为null. 文件头由4096字节组成，具体结构如下:

偏移长度值描述08“ ElFile \\ x00”签名88第一个数据块

168个最后一个数据块

248下一条记录标识符

324128标头的大小3621次要版本号3823主要版本号4024096数据块偏移422数据块数

4476空值

1204文件徽标

1244校验和

1283968空值

表文件头内容

Windows XML事件日志大小

事件日志文件大小=（数据块数* 65536）+4096.

文件头偏移为120的数据值为文件标记，该部分的组成如下:

值标识符说明0x0001已更新

0x0002已填充

图文件头文件格式

每个数据块的大小为65536字节. 数据块的标题标签命名为45 6C 66 43 68 6E 6B 00（ElfChnk \\ x00）. 数据块由数据块头，事件记录和可用空间组成. 数据块文件头由512字节组成，具体结构如下:

偏移长度值描述08“ ElfChnk \\ x00”签名88第一个事件记录编号

168最后事件记录编号

248个第一事件记录标识符

328最后事件记录标识符

404128指针数据偏移444最后事件记录数据偏移

484个可用空间偏移量

524事件记录校验和

5664空值

1204未知

1244校验和

表块标题

图块标题文件格式

数据块包含多个事件记录，一个事件记录对应一个日志消息. 事件记录的大小和组成如下:

偏移长度值描述04“ ** \\ x00 \\ x00”签名44事件记录块大小

88个事件记录标识符

168个事件记录的写入时间

24…事件记录内容

…4份

表事件记录

Windows事件日志取证分析中要注意的重点

Windwos操作系统默认不提供删除特定日志记录的功能，仅提供删除所有日志的功能. 这意味着日志记录ID（事件记录ID）应该是连续的，并且默认的排序方法应该从大到小排列.

通过Windows事件日志的取证分析，取证人员可以通过追溯的关键时间点记录操作系统，应用程序，服务，设备等的操作行为.

在事件查看器中删除单个日志记录

在分析事件记录格式之后，我了解到Windows系统分析事件记录日志时，它将根据事件记录的大小逐一读取日志的内容. 假设您修改日志的长度，以便该长度覆盖下一个日志. 从理论上讲，当Windows系统解析日志时，它将跳过下一个日志，这等效于“删除”下一个日志. DanderSpritz中的eventlogedit是这个想法，只是修改的程度，而实际上并没有删除日志内容. 实现思路如下:

图片删除事件记录提示

为了确保可以正确识别修改后的日志文件，有必要修改多个标志位并重新计算校验和.

显示错误修改的事件日志

为了确保上图中显示的错误不会发生，请总结删除单个日志内容的方法:

根据上述方法删除单个日志是NAS公式组织的DanderSpritz中eventlogedit的实现方法. 实际上，只有信息被隐藏，在此基础上，指定日志的内容将被清空，并且可以删除真实日志.

单个日志删除

准备: 测试文件（test.evtx-系统中的Setup.evtx），Winhex，python

下载地址:

此文件包含8个日志. 下面演示了删除第8条记录的做法. 使用事件查看器打开确认最后一个事件的EventRecordID. 此实验中的值为8.

图test.evtx文件

文件头中的Next recordidentifier的值减少一个

文件头是整个文件的第一部分. Nextrecord标识符的偏移量为24（0x18），其长度为8个字节. 实验文件test.evtx的内容如下:

图test.evtx文件内容

下一条记录标识符的值为0x09. 将值减去一0x08. 这里需要提到的是文件的字节序为小字节序，因此低位在前.

重新计算文件标题中的校验和

计算方法: 前120个字节由CRC32计算，偏移量为124（0x7c），长度为4. 修改后的文件内容如下:

图修改过的test.evtx

现在提取内容的前120个字节:

456C6646696C650000000000000000000000000000000000080000000000000080000000010003000010010000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000

使用python中的binascii模块计算CRC32. 代码如下:

图CRC32代码计算

输出结果为: 0xfb027480，修改后修改文件内容，如下图:

图修改校验和

编辑事件记录

通过查找十六进制值查找2A2A0000并找到第8个事件记录. 此事件记录的长度为0x180. 如下图所示:

图8 EventRecord

第7条事件记录的长度为0x170. 如下图所示:

图7 EventRecord

计算要修改的内容的长度. 新的长度为0x170 + 0x180 = 0x2f0. 由于删除了最后一条记录，因此无需更新事件记录标识符. 有两个位置可以修改长度，即第7个对数的长度和第8个对数的结尾.

图7日志

图8日志

更新ElfChnk

搜索ElfChuk关键字以找到相应的ElfChuk位置. 如下图所示:

Elfchnk图

修改以下内容:

最后事件记录号减1，0x07

最后一个事件记录的标识符减去1，0x07

最后一个事件记录的数据偏移量0x13c8

事件记录校验和，0xf403d736

校验和，0x7563439c

事件记录校验和的数据计算范围: 事件记录在块中的偏移量是固定的，与文件头的偏移量为0x1200字节，这意味着校验和数据的起始位置为0x1200. 事件记录结束位置的计算方法: 块的起始块地址+自由空间偏移=事件记录数据.

校验和的数据计算范围: 固定地址0x1000-0x1078、0x1080-0x1200.

修改后的ElfChnk如下:

图修改为ElfChnk

修改后，使用系统自己的事件查看器打开手机怎么看电脑分类日志，并成功删除日志文件中的最后一条记录.

图片成功删除了一条日志记录

这是删除最后一条记录的详细历史记录. 在实际操作中，删除第一条记录和中间记录将有一些不同的部分. 只要您了解evtx文件的格式，请删除evtx格式的内容. 记录方法不是唯一的. 只需删除相应的数据块，最后通过文件验证即可.

--------------------------------------------------- ------------------------------------------------

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-238643-1.html