1.打开事件查看器 点击"开始"，在搜索框中输入"事件查看器"，然后选择它。 2.开启打印日志 必须以管理员身份登录才能在事件查看器中启用或禁用打印日志记录。...展开"应用程序和服务日志"文件夹-" Microsoft"文件夹-" Windows"文件夹-"PrintService"文件夹 在"事件查看器"的" PrintService"窗格下，右键单击" Operational...右侧的筛选当前日志，事件来源选择"PrintService"
写在前面的话 在这篇文章中，我们将告诉大家如何使用EvtMute来对Windows事件日志进行筛选过滤。...EvtMute这款工具允许我们使用YARA来进行攻击性操作，并对已经报告给Windows事件日志的事件进行过滤和筛选。...工具使用 EvtMuteHook.dll中包含的是该工具的核心功能，成功注入之后，它将会应用一个临时过滤器，允许报告所有事件，这个过滤器可以动态更新，而不必重新注入。...禁用日志记录 最常见的EvtMute使用场景就是禁用系统范围内的事件日志记录了，此时我们可以应用下列Yara规则： rule disable { condition: true } 此时，我们首先需要通过向事件...\SharpEvtMute.exe --Filter "rule disable { condition: true }" 现在，event服务将会忽略所有的事件。
双击日志存档文件即可打开日志文件查看器，并可以对日志进行筛选或者导出等操作。 ? 另外，MSSQ提供了一个工具SQL Server Profiler ，方便查找和发现SQL执行的效率和语句问题。 ?...日志分析案例： 在日志文件查看器中，选择筛选，在筛选设置中源设置为“登录”，应用筛选器，确定。 ?...我们先来看一下sqlmap os-shell参数的用法以及原理： 1、构造一个SQL注入点，开启Burp监听8080端口 sqlmap.py -u http://192.168.204.164/sql.asp...通过查看数据库中最近新建的表的结构和内容，可以判断是否发生过sql注入漏洞攻击事件。 检查方法： 1、数据库表检查 ?...Exec master.dbo.xp_cmdshell 'whoami 3、需要结合web日志，通过查看日志文件的大小以及审计日志文件中的内容，可以判断是否发生过sql注入漏洞攻击事件。
、端口释放频率赶不上端口请求频率的情况下才会报这个，重启机器能解决问题，不重启执行扩大动态端口范围的命令也能解决 当系统出现这些典型报错和 4227/4231/4266等事件ID时 ，此时用户态的netstat...dynamicport tcp netsh int ipv4 show dynamicport udp 默认的范围并不大，下图2个值分别是起点端口和端口数，端口范围是【49152,65535】...这是我曾经咨询微软时的一个答复 图片.png netstat -ano看到端口不多的疑问，是因为netstat看到的是user-mode的端口，可能在kernel-mode中AFD的端口已经耗尽，...MaxUserPort并不是最大用户端口号，而是最大用户端口数，其算法是tcp动态端口范围包含的端口数+1024。...比如执行netsh int ipv4 set dynamicport tcp start=10000 num=55535 ，tcp动态端口范围是10000～65534，共55535个端口，MaxUserPort
要求 1.筛选出tcp地址，按照状态进行计数，分类展示 time_wait established 2.按照同一个端口号连接的ip数量进行从高到低排序列出top10 3.输出top10端口对应的远程ip...地址；端口之间以分割线分割，IP地址之间以逗号分割 ---- 解答 #！...|grep -w ESTABLISHED|wc -l) echo "TIME_WAIT_num=${tw}" echo "ESTABLISHED_num=${est}" echo "" #筛选出...tcp连接的，且状态为TIME_WAIT的连接 netstat -ant |grep -w tcp|grep -w TIME_WAIT echo "" #筛选出tcp连接的，且状态为ESTABLISHED...)|去除空行|排序|去重并计数|取前10|再次排序|分割出第二字段（排序后的端口号） netstat -ant |awk 'NR>2' |awk '{print $4}'|cut -d ':' -f 2
概述 事件查看器(eventvwr.msc) Windows主要有以下三类日志记录系统事件：系统日志、应用程序日志和安全日志。...防火墙对域内的5985/5986端口白名单，用于日志传输。 我的环境 client PC名 AD，server PC名 tony-PC。...Server 端配置 1.打开日志收集项 使用管理员权限打开powershell 或cmd ，运行winrm qcWinRM 服务，并激活日志收集项： 2.配置日志接收项和接收的计算机 打开事件查看器...(eventvwr.msc)，并选择左侧订阅： 点击创建订阅： 输入域内client机器的计算机名 添加要过滤的事件id: 等待一段时间，在 事件查看器-转发事件 查看，就有数据了。...“事件管理-转发事件”里还有一个功能，“筛选当前日志”，可以根据日志类型筛选。 2.后续转发过来的日志，如何分析，如何再次转发到安全设备，也是一个问题。
1 筛选[掌握] 筛选与之前“选择器”雷同，筛选提供函数 1.1 过滤 eq(index|-index)，获取第N个元素 •index：一个整数，指示元素基于0的位置...filter(expr|obj|ele|fn)，筛选出与指定表达式匹配的元素集合。...error, notmodify,timeout 4 种) •XMLHttpRequest 对象 默认使用 GET 方式 - 传递附加参数时自动转换为 POST 方式 可以指定选择符，来筛选载入的...HTML 文档，DOM 中将仅插入筛选出的 HTML 代码 4.2 $.get 发送的就是get请求 jQuery.get(url, [data], [callback],[type]...域：服务器域名，唯一标识（协议、域名、端口）必须保证一直，说明域相同。 跨域：两个不同域名之间的通信，称之为跨域。
查看系统日志方法： 在“开始”菜单上，依次指向“所有程序”、“管理工具”，然后单击“事件查看器” 按 "Window+R"，输入 ”eventvwr.msc“ 也可以直接进入“事件查看器” ?...： 在“开始”菜单上，依次指向“所有程序”、“管理工具”，然后单击“事件查看器”； 在事件查看器中，单击“安全”，查看安全日志； 在安全日志右侧操作中，点击“筛选当前日志”，输入事件ID进行筛选。...案例2：可以利用eventlog事件来查看计算机开关机的记录： 1、在“开始”菜单上，依次指向“所有程序”、“管理工具”，然后单击“事件查看器”； 2、在事件查看器中，单击“系统”，查看系统日志； 3、...在系统日志右侧操作中，点击“筛选当前日志”，输入事件ID进行筛选。...(关机) 6009 信息 EventLog 按ctrl、alt、delete键(非正常)关机 我们输入事件ID：6005-6006进行日志筛选，发现了两条在2018/7/6 17:53:51左右的记录
在护网期间，客户遇到入侵事件，或许谈不上入侵，只是流量探测一下，客户第一反应就是拔网线、关闭端口、IP加入黑名单等常规操作。说实话这只能解决一时，解决不了一世。...我们可以根据事件ID进行来筛选我们需要的事件： 我们输入事件ID：4625进行日志筛选，发现事件ID：4625，事件数175904，即用户登录失败了175904次，那么这台服务器管理员账号可能遭遇了暴力猜解...可以利用 eventlog 事件来查看计算机开关机的记录： 1、在“开始”菜单上，依次指向“所有程序”、“管理工具”，然后单击“事件查看器”； 2、在事件查看器中，单击“系统”，查看系统日志； 3、在系统日志右侧操作中...，点击“筛选当前日志”，输入事件ID进行筛选。...我们输入事件ID：6005-6006进行日志筛选，发现了两条在2018/7/6 17:53:51左右的记录，也就是我刚才对系统进行重启的时间。 ?
对于DCOM，我们可以做的第一件事是通过端口135寻找初始TCP连接。然后，连接和接收系统将决定使用一个新的端口。对于WSMan，初始TCP连接使用的是端口5985。...接下来，你需要在事件查看器中查看Microsoft Windows WMI活动/跟踪事件日志。如果可能，搜索事件ID 11并在IsLocal属性上进行筛选。...你还可以在Microsoft Windows WinRM/分析日志中查找事件ID 1295。
主要记录行为当前的日期、时间、用户、计算机、信息来源、事件、类型、分类等信息。用户可以通过它来检查错误发生的原因，处理应急事件，提供溯源，这些日志信息在取证和溯源中扮演着重要的角色。...Windows日志事件类型 Windows操作系统日志分析 Windows事件日志中记录的信息中，关键的要素包含事件级别、记录时间、事件来源、事件ID、事件描述、涉及的用户、计算机、操作代码及任务类别等...Windows系统使用自带的事件查看器来查看分析所有的Windows系统日志。...一、打开事件查看器：控制面板→管理工具 中找到事件查看器，或者在【开始】→【运行】→输 入 eventvwr.msc 打开。...二、筛选日志进行分析 如果想要查看账户登录事件，在右边点击筛选当前日志，在事件ID填入4624和4625，4624 登录成功 4625 登录失败。
： 1、在“开始”菜单上，依次指向“所有程序”、“管理工具”，然后单击“事件查看器”； 2、在事件查看器中，单击“安全”，查看安全日志； 3、在安全日志右侧操作中，点击“筛选当前日志”，输入事件 ID...案例 2：可以利用 eventlog 事件来查看计算机开关机的记录： 1、在“开始”菜单上，依次指向“所有程序”、“管理工具”，然后单击“事件查看器”； 2、在事件查看器中，单击“系统”，查看系统日志；...3、在系统日志右侧操作中，点击“筛选当前日志”，输入事件ID进行筛选。...双击日志存档文件即可打开日志文件查看器，并可以对日志进行筛选或者导出等操作。 ?...日志分析案例： 在日志文件查看器中，选择筛选，在筛选设置中源设置为“登录”，应用筛选器，确定。 ?
查看Windows安全日志，发现了大量的登录失败记录： 安全日志分析： 运行:eventvwr.msc打开时间查看器，点击Windows日志，选择安全。...安全日志记录着事件审计信息，包括用户验证（登录，远程访问等）和特定用户认证后对系统做了什么。...打开安全日志，在右边点击筛选当前日志，在事件ID填入4625，查询到事件ID4625，事件数17707，从这个数据可以得知，服务器正在遭受暴力破解。...推测是FTP服务，通过查看端口服务及管理员访谈，确认服务器对公网开放了FTP服务。...2.更改服务器FTP默认端口。 3.部署入侵检测设备，增强安全防护。
，其导出的日志为evtx格式（即Windows日志本身的存储格式），可以使用Windows事件查看器分析，Crtl+F查找，或者不使用epl参数，直接重定向输出即可。...；（默认xml格式显示） Security: 指定安全事件的日志； /q: 筛选规则，可以打开Windows事件查看器的筛选器配置筛选条件后转至XML复制筛选规则； /f: 以text格式显示 /rd:...指定读取事件的方向 /c: 指定个数 该命令其它参数参考wevtutil /?...通过网络连接判断也成，代理服务器可能有多个机器连接代理端口；更新服务器（WSUS）可能开放更新端口8530；DNS服务器开放53端口….. 3.连通性的判断 指的是机器能否从外面进来，能否出去。...这关乎于后续的代理和木马 4.端口的判断 外网***开放监听端口，内网机器测试常见端口，或者直接端口扫描 常见能出去的端口：80、8080、443、53、110、123等 5.协议的判断 通常就是TCP
如：是否存在弱口令（例如3389、FTP、中间件、数据库） 是否存在对外映射的端口，或WEB应用等 1.1.2 账号安全风险分析 查看当前已登录的账号 query user ?...建立隐藏用户参考链接： https://www.cnblogs.com/lunachy/p/4602228.html 1.1.3 日志风险分析 Win+R 输入 eventvwr.msc 打开事件查看器...日志事件查看器本身支持筛选功能。...1.1.5 异常风险分析 1.1.5.1端口状态 cmd命令 netstat -ano netstat -ano | findstr “port”查看端口对应的活动连接 tasklit | findstr...TCP端口状态说明 ?
开始-运行，输入 eventvwr.msc 打开事件查看器，查看日志 [1.png] 可以看到，事件查看器将日志分成了2大类，windows日志、应用程序和服务日志，windows日志中又有应用程序、安全...下面配合一个案例查看日志： 在攻击机器上爆破目标靶机的RDP，在靶机上查看日志信息 开始-运行，输入 eventvwr.msc 在事件查看器中，Windows日志 --> 安全，查看系统日志； 在系统日志右侧操作中...，点击筛选当前日志 ，输入事件 ID 进行筛选。...输入事件 ID：4625 进行日志筛选，发现事件 ID：4625，事件数 229，即用户登录失败了 229 次，那么这台服务器管理员账号可能遭遇了暴力猜解。...Operational Sysmon 日志默认保存在 %SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx，可在事件查看器的日志属性设置保存在远程服务器
第一步： 打开菜单中 管理工具里的事件查看器 [image.png] 第二步： 点击Windows日志里的任意一个子项目 [image.png] 可以点击右边筛选当前日志功能，筛选出你只想看的内容 [image.png...] 第三步： 可以按照事件级别，任务类型，关键字等进行筛选，比如我这里选择错误和警告。...[image.png] 如下图是筛选后的日志内容： [image.png] 第四步： 右键点击所在子项目，选择“将已筛选的日志另存为” [image.png] 然后选择导出的日志存放的位置，以及文件名：
1.点击开始，点击事件查看器 2.找到windows日志，找到安全，点击安全 3.点击筛选当前日志 4.输入事件id查看即可 4634 - 帐户被注销 4647 - 用户发起注销 4624 - 帐户已成功登录
1.点击开始，点击事件查看器 image.png 2.找到windows日志，找到安全，点击安全 image.png 3.点击筛选当前日志 image.png 4.输入事件id查看即可 4634
第六步：将审核登录事件开启成功。 第七步：打开active direstory 用户和计算机，创建用户例如test。...中打开命令指示符，输入gpupdate进行将组策略生效 第十一步：在windows7中进行登录（用户为域创建的用户） 第十二步：在windows7中打开C盘 第十三步：在windows2008中输入，打开事件查看器...第十四步：在事件查看器中点击window日志，点击安全后找到筛选当前 第十五步：发现登陆记录
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
