前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >Windows系统日志分析工具– Log Parser「建议收藏」

Windows系统日志分析工具– Log Parser「建议收藏」

作者头像
全栈程序员站长
发布2022-10-04 20:19:58
2.7K0
发布2022-10-04 20:19:58
举报

大家好,又见面了,我是你们的朋友全栈君。

可参考文章:日志分析工具 LogParser 学习笔记_Memetali_ss的博客-CSDN博客 写完才看见。吐了

0x01 基本设置

事件ID及常见场景

对于Windows事件日志分析,不同的EVENT ID代表了不同的意义,摘录一些常见的安全事件的说明。

代码语言:javascript
复制
4624  --登录成功   
4625  --登录失败  
4634 -- 注销成功
4647 -- 用户启动的注销   
4672 -- 使用超级用户(如管理员)进行登录

系统:
1074,通过这个事件ID查看计算机的开机、关机、重启的时间以及原因和注释。
6005,表示计算机日志服务已启动,如果出现了事件ID为6005,则表示这天正常启动了系统。
104,这个时间ID记录所有审计日志清除事件,当有日志被清除时,出现此事件ID。

安全:
4624,这个事件ID表示成功登陆的用户,用来筛选该系统的用户登陆成功情况。
4625,这个事件ID表示登陆失败的用户。
4720,4722,4723,4724,4725,4726,4738,4740,事件ID表示当用户帐号发生创建,删除,改变密码时的事件记录。
4727,4737,4739,4762,事件ID表示当用户组发生添加、删除时或组内添加成员时生成该事件。

例如:

1、管理员登录

使用mstsc远程登录某个主机时,使用的帐户是管理员帐户的话,成功的情况下会有ID为4776、4648、4624、4672的事件产生。

Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

2、执行系统命令

Win+R打开运行,输入“CMD”,回车运行“ipconfig”,产生的日志过程是这个样子:

进程创建 C:\Windows\System32\cmd.exe

进程创建 C:\Windows\System32\ipconfig.exe

进程终止 C:\Windows\System32\ipconfig.exe

Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

3、在入侵提权过程中,常使用下面两条语句,会形成怎么样的日志呢?

代码语言:javascript
复制
net user  USER  PASSWORD /add
net localgroup administrators USER /add
Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

0x02 日志分析工具

2.1. Log Parser 2.2下载地址

https://www.microsoft.com/en-us/download/details.aspx?id=24659

Log Parser的日志可以通过SQL进行查询。

2.1.1 sql字段

Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

S:String 数组

调用格式:

代码语言:javascript
复制
EXTRACT_TOKEN(EventTypeName, 0, ' ') )
EventTypeName:字段名
0:顺序,从0开始
“|”:分隔符

T:Time。时间类

I:intger。整数类

T和I二者都是直接调用:

代码语言:javascript
复制
SELECT TO_DATE(TimeGenerated), TO_UPPERCASE( EXTRACT_TOKEN(EventTypeName, 0, ' ') ), SourceName FROM System

TimeGenerated

2.1.2字段解释

RecordNumber:日志记录编号从0开始

TimeGenerated:事件生成时间

TimeWritten:事件记录时间

EventID:事件ID

Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

EventType:事件类型

参考:Windows Logon Type的含义_flyhaze的专栏-CSDN博客

Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

EventCategory:不懂。参考Windows API ReportEvent 写系统日志 – jqdy – 博客园

String:

各个位置含义:

代码语言:javascript
复制
0安全IP(SID)        1账号名称         2账户域         3登录ID         4安全ID        5账户名

6账户域        7登录ID        8登录类型        9登录进程        10身份验证数据包

11网络账户名称        12账号GUID        13网络账户域        14数据包名        15密钥长度

16进程ID        17进程路径        18源网络地址        19源端口        20模拟级别

21        22        23         24 虚拟账户        25         26 提升的令牌

EventLog:

各个位置含义:

代码语言:javascript
复制
0 文件绝对路径  

EventTypeName

各个位置含义:

代码语言:javascript
复制
0 审核成功/审核失败

SourceName:来源

各个位置含义:

代码语言:javascript
复制
0:来源位置

eg:Microsoft-Windows-Security-Auditing

SID:查看结果为全空

Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

Message:消息

各个位置含义:

代码语言:javascript
复制
0 The description for Event ID 4625 in Source "Microsoft-Windows-Security-Auditing" cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote compute

Data:全空

ComputerName:计算机名称

代码语言:javascript
复制
0 WIN-L5ST0VQ25FA   
计算机名称

EventCategoryName

代码语言:javascript
复制
0 The name for category 12544 in Source "Microsoft-Windows-Security-Auditing" cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote computer 

主要字段为:TimeGenerated:事件生成时间 EventID:事件ID EventType:事件类型 String: EventLog ComputerName:计算机名称

2.1.3命令组成

基本格式:logparser -i:输入文件格式 [-输入文件参数] -o:输出文件格式 [-输出格式参数] “SQL 查询语句

LogParser.exe -i:EVT “SELECT EventID as EventID,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,’|’) as username,EXTRACT_TOKEN(Strings,19,’|’) as ip FROM C:\Users\172.16.5.30\sec.evtx where EventID=4625″

EventID :该值为System节点下的EventID;

TimeGenerated:该值情况类似于EventID,时间

Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

EXTRACT_TOKEN(Strings,5,’|’):该值为EventData部分的第六部分的值,为TargetUserName的值。

Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

2.1.1. 常用命令

1.管理员登录时间和登录用户名(登陆成功)

代码语言:javascript
复制
LogParser.exe -i:EVT "SELECT  EXTRACT_TOKEN(Strings,1,'|') as username,EXTRACT_TOKEN(Strings,5,'|') as username1,EXTRACT_TOKEN(Strings,19,'|') as ip,EventID,TimeGenerated FROM  C:\sec.evtx where EventID = 4625
Windows系统日志分析工具-- Log Parser「建议收藏」
Windows系统日志分析工具-- Log Parser「建议收藏」

2. 查看(登陆失败)的记录

代码语言:javascript
复制
LogParser.exe -i:EVT "SELECT TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as username FROM c:.evtx where EventID=4625"

3. RDP爆破使用的用户名及爆破次数

待续。。

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员栈长,转载请注明出处:https://javaforall.cn/196073.html原文链接:https://javaforall.cn

本文参与 腾讯云自媒体同步曝光计划,分享自作者个人站点/博客。
原始发表:2022年9月8日 上,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 作者个人站点/博客 前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • 0x01 基本设置
    • 事件ID及常见场景
    • 0x02 日志分析工具
      • 2.1. Log Parser 2.2下载地址
        • 2.1.1. 常用命令
    相关产品与服务
    Elasticsearch Service
    腾讯云 Elasticsearch Service(ES)是云端全托管海量数据检索分析服务,拥有高性能自研内核,集成X-Pack。ES 支持通过自治索引、存算分离、集群巡检等特性轻松管理集群,也支持免运维、自动弹性、按需使用的 Serverless 模式。使用 ES 您可以高效构建信息检索、日志分析、运维监控等服务,它独特的向量检索还可助您构建基于语义、图像的AI深度应用。
    领券
    问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档