您的位置:首页精文荟萃软件资讯 → Win2k日志详述及删除方法

Win2k日志详述及删除方法

时间:2004/10/7 18:18:00来源:本站整理作者:蓝点我要评论(1)

 Windows2000的日志文件通常有应用程序日志,安全日志、系统日志、DNS服务器日志、FTP日志、WWW日志等等,可能会根据服务器所开启的服务不同。当我们用流光探测时,比如说IPC探测,就会在安全日志里迅速地记下流光探测时所用的用户名、时间等等,用FTP探测后,也会立刻在FTP日志中记下IP、时间、探测所用的用户名和密码等等。甚至连流影启动时需要msvcp60.dll这个动库链接库,如果服务器没有这个文件都会在日志里记录下来,这就是为什么不要拿国内主机探测的原因了,他们记下你的IP后会很容易地找到你,只要他想找你!!还有Scheduler日志这也是个重要的LOG,你应该知道经常使用的srv.exe就是通过这个服务来启动的,其记录着所有由Scheduler服务启动的所有行为,如服务的启动和停止。 

日志文件默认位置: 
应用程序日志、安全日志、系统日志、DNS日志默认位置:%sys temroot%\sys tem32\config,默认文件大小512KB,管理员都会改变这个默认大小。 
安全日志文件:%sys temroot%\sys tem32\config\SecEvent.EVT 
系统日志文件:%sys temroot%\sys tem32\config\SysEvent.EVT 
应用程序日志文件:%sys temroot%\sys tem32\config\AppEvent.EVT 
Internet信息服务FTP日志默认位置:%sys temroot%\sys tem32\logfiles\msftpsvc1\,默认每天一个日志 
Internet信息服务WWW日志默认位置:%sys temroot%\sys tem32\logfiles\w3svc1\,默认每天一个日志 
Scheduler服务日志默认位置:%sys temroot%\schedlgu.txt 

以上日志在注册表里的键: 
应用程序日志,安全日志,系统日志,DNS服务器日志,它们这些LOG文件在注册表中的: 
HKEY_LOCAL_MACHINE\sys tem\CurrentControlSet\Services\Eventlog 
有的管理员很可能将这些日志重定位。其中EVENTLOG下面有很多的子表,里面可查到以上日志的定位目录。 
Schedluler服务日志在注册表中 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent 

FTP和WWW日志详解: 
FTP日志和WWW日志默认情况,每天生成一个日志文件,包含了该日的一切记录,文件名通常为ex(年份)(月份)(日期),例如ex001023,就是2000年10月23日产生的日志,用记事本就可直接打开,如下例: 
#Software: Microsoft Internet Information Services 5.0  (微软IIS5.0) 
#Version: 1.0 (版本1.0) 
#Date: 20001023 0315 (服务启动时间日期) 
#Fields: time cip csmethod csuristem scstatus 
0315 127.0.0.1 [1]USER administator 331 (IP地址为127.0.0.1用户名为administator试图登录) 
0318 127.0.0.1 [1]PASS – 530 (登录失败) 
032:04 127.0.0.1 [1]USER nt 331 (IP地址为127.0.0.1用户名为nt的用户试图登录) 
032:06 127.0.0.1 [1]PASS – 530 (登录失败) 
032:09 127.0.0.1 [1]USER cyz 331 (IP地址为127.0.0.1用户名为cyz的用户试图登录) 
0322 127.0.0.1 [1]PASS – 530 (登录失败) 
0322 127.0.0.1 [1]USER administrator 331 (IP地址为127.0.0.1用户名为administrator试图登录) 
0324 127.0.0.1 [1]PASS – 230 (登录成功) 
0321 127.0.0.1 [1]MKD nt 550 (新建目录失败) 
0325 127.0.0.1 [1]QUIT – 550 (退出FTP程序) 

从日志里就能看出IP地址为127.0.0.1的用户一直试图登录系统,换了四次用户名和密码才成功,管理员立即就可以得知管理员的入侵时间、IP地址以及探测的用户名,如上例入侵者最终是用administrator用户名进入的,那么就要考虑更换此用户名的密码,或者重命名administrator用户。 

WWW日志 
WWW服务同FTP服务一样,产生的日志也是在%sys temroot%\sys tem32\LogFiles\W3SVC1目录下,默认是每天一个日志文件,下面是一个典型的WWW日志文件 
#Software: Microsoft Internet Information Services 5.0 
#Version: 1.0 
#Date: 20001023 03:091 
#Fields: date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent) 
20001023 03:091 192.168.1.26 192.168.1.37 80 GET /iisstart.asp 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt) 
20001023 03:094 192.168.1.26 192.168.1.37 80 GET /pagerror.gif 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt) 

通过分析第六行,可以看出2000年10月23日,IP地址为192.168.1.26的用户通过访问IP地址为192.168.1.37机器的80端口,查看了一个页面iisstart.asp,这位用户的浏览器为compatible;+MSIE+5.0;+Windows+98+DigExt,有经验的管理员就可通过安全日志、FTP日志和WWW日志来确定入侵者的IP地址以及入侵时间。 
既使你删掉FTP和WWW日志,但是还是会在系统日志和安全日志里记录下来,但是较好的是只显示了你的机器名,并没有你的IP,例如上面几个探测之后,系统日志 
将会产生下面的记录: 

一眼就能看出2000年10月23日,16点17分,系统因为某些事件出现警告,双击头一个,打开它的属性: 

属性里记录了出现警告的原因,是因为有人试图用administator用户名登录,出现一个错误,来源是FTP服务。 
同时安全记录里写将同时记下:(Ekin:此图不是此次示例的安全日志) 


在上图中可以看到两种图标:钥匙(表示成功)和锁(表示当用户在做什么时被系统停止)。接连四个锁图标,表示四次失败审核,事件类型是帐户登录和登录、注销失败,日期为2000年10月18日,时间为1002,这就需要重点观察。 
双点第一个失败审核事件的,即得到此事件的详细描述,如下图12所示: 

分析上图,我们可以得知有个CYZ的工作站,用administator用户名登录本机,但是因为用户名未知或密码错误(实际为密码错误)未能成功。 
另外还有DNS服务器日志,不太重要,就此略过(其实是我没有看过它) 

知道了Windows2000日志的详细情况,下面就要学会怎样删除这些日志: 
通过上面,得知日志文件通常有某项服务在后台保护,除了系统日志、安全日志、应用程序日志等等,它们的服务是Windos2000的关键进程,而且与注册表文件在一块,当Windows2000启动后,启动服务来保护这些文件,所以很难删除,而FTP日志和WWW日志以及Scedlgu日志都是可以轻易地删除的。 
首先要取得Admnistrator密码或Administrators组成员之一,然后Telnet到远程主机,先来试着删除FTP日志: 
D:\SERVER>del schedlgu.txt 
D:\SERVER\SchedLgU.Txt 
进程无法访问文件,因为另一个程序正在使用此文件。 
说过了,后台有服务保护,先把服务停掉! 
D:\SERVER>net stop "task scheduler" 
下面的服务依赖于 Task Scheduler 服务。 
停止 Task Scheduler 服务也会停止这些服务。 

Remote Storage Engine 

是否继续此操作? (Y/N) [N]: y 
Remote Storage Engine 服务正在停止.... 
Remote Storage Engine 服务已成功停止。 

Task Scheduler 服务正在停止. 
Task Scheduler 服务已成功停止。 
OK,它的服务停掉了,同时也停掉了与它有依赖关系的服务。再来试着删一下! 
D:\SERVER>del schedlgu.txt 
D:\SERVER> 
没有反应?成功了!下一个是FTP日志和WWW日志,原理都是一样,先停掉相关服务,然后再删日志! 
D:\SERVER\sys tem32\LogFiles\MSFTPSVC1>del ex*.log 

D:\SERVER\sys tem32\LogFiles\MSFTPSVC1> 
以上操作成功删除FTP日志!再来WWW日志! 
D:\SERVER\sys tem32\LogFiles\W3SVC1>del ex*.log 

D:\SERVER\sys tem32\LogFiles\W3SVC1> 
OK!恭喜,现在简单的日志都已成功删除。下面就是很难的安全日志和系统日志了,守护这些日志的服务是Event Log,试着停掉它! 
D:\SERVER\sys tem32\LogFiles\W3SVC1>net stop eventlog 
这项服务无法接受请求的 "暂停" 或 "停止" 操作。 
KAO,I 服了 U,没办法,它是关键服务。如果不用第三方工具,在命令行上根本没有删除安全日志和系统日志的可能!所以还是得用虽然简单但是速度慢得死机的办法:打开“控制面板”的“管理工具”中的“事件查看器”(98没有,知道用Win2k的好处了吧),在菜单的“操作”项有一个名为“连接到另一台计算机”的菜单,点击它如下图所示: 

输入远程计算机的IP,然后点支烟,等上数十分钟,忍受象死机的折磨,然后打开下图: 

选择远程计算机的安全性日志,右键选择它的属性: 

点击属性里的“清除日志”按钮,OK!安全日志清除完毕!同样的忍受痛苦去清除系统日志! 
目前在不借助第三工具的情况下,能很快,很顺利地清除FTP、WWW还有Schedlgu日志,就是系统日志和安全日志属于Windows2000的严密守护,只能用本地的事件查看器来打开它,因为在图形界面下,加之网速又慢,如果你银子多,时间闲,还是可以清除它的。综上所述,介绍了Windows2000的日志文件以及删除方法,但是你必须是Administrator,注意必须作为管理员或管理组的成员登录才能打开安全日志记录。该过程适用于 Windows 2000 Professional 计算机,也适用于作为独立服务器或成员服务器运行的 Windows 2000 Server 计算机。 

至此,Windows2000安全知识基础讲座完毕,还有几句话要讲,大家也看出来了,虽然FTP等等日志可以很快清除,但是系统日志和安全日志却不是那么快、那么顺利地能删除,如果遇到聪明的管理员,将日志文件转移到另一个地方,那更是难上加难,所以奉劝大家,千万不要拿国内的主机做试验,国内的法律很严呀!今天吃饭时,听说有两个人开玩笑,一个人把另外一个人的东西藏起来了,结果那个人一急,报案了,于是藏东西那个人被判四年刑!!法官说法律是不开玩笑的!!!所以大家一定要牢记这点!(不要说我老生常谈) 
如果大家有什么不明白地方,请在光和影子论坛提问!谢谢! 

在上图中可以看到两种图标:钥匙(表示成功)和锁(表示当用户在做什么时被系统停止)。接连四个锁图标,表示四次失败审核,事件类型是帐户登录和登录、注销失败,日期为2000年10月18日,时间为1002,这就需要重点观察。 
双点第一个失败审核事件的,即得到此事件的详细描述,如下图12所示: 
分析上图,我们可以得知有个CYZ的工作站,用administator用户名登录本机,但是因为用户名未知或密码错误(实际为密码错误)未能成功。 
另外还有DNS服务器日志,不太重要,就此略过(其实是我没有看过它) 

知道了Windows2000日志的详细情况,下面就要学会怎样删除这些日志: 
通过上面,得知日志文件通常有某项服务在后台保护,除了系统日志、安全日志、应用程序日志等等,它们的服务是Windos2000的关键进程,而且与注册表文件在一块,当Windows2000启动后,启动服务来保护这些文件,所以很难删除,而FTP日志和WWW日志以及Scedlgu日志都是可以轻易地删除的。 
首先要取得Admnistrator密码或Administrators组成员之一,然后Telnet到远程主机,先来试着删除FTP日志: 
D:\SERVER>del schedlgu.txt 
D:\SERVER\SchedLgU.Txt 
进程无法访问文件,因为另一个程序正在使用此文件。 
说过了,后台有服务保护,先把服务停掉! 
D:\SERVER>net stop "task scheduler" 
下面的服务依赖于 Task Scheduler 服务。 
停止 Task Scheduler 服务也会停止这些服务。 

Remote Storage Engine 

是否继续此操作? (Y/N) [N]: y 
Remote Storage Engine 服务正在停止.... 
Remote Storage Engine 服务已成功停止。 

Task Scheduler 服务正在停止. 
Task Scheduler 服务已成功停止。 
OK,它的服务停掉了,同时也停掉了与它有依赖关系的服务。再来试着删一下! 
D:\SERVER>del schedlgu.txt 
D:\SERVER> 
没有反应?成功了!下一个是FTP日志和WWW日志,原理都是一样,先停掉相关服务,然后再删日志! 
D:\SERVER\sys tem32\LogFiles\MSFTPSVC1>del ex*.log 

D:\SERVER\sys tem32\LogFiles\MSFTPSVC1> 
以上操作成功删除FTP日志!再来WWW日志! 
D:\SERVER\sys tem32\LogFiles\W3SVC1>del ex*.log 

D:\SERVER\sys tem32\LogFiles\W3SVC1> 
OK!恭喜,现在简单的日志都已成功删除。下面就是很难的安全日志和系统日志了,守护这些日志的服务是Event Log,试着停掉它! 
D:\SERVER\sys tem32\LogFiles\W3SVC1>net stop eventlog 
这项服务无法接受请求的 "暂停" 或 "停止" 操作。 
KAO,I 服了 U,没办法,它是关键服务。如果不用第三方工具,在命令行上根本没有删除安全日志和系统日志的可能!所以还是得用虽然简单但是速度慢得死机的办法:打开“控制面板”的“管理工具”中的“事件查看器”(98没有,知道用Win2k的好处了吧),在菜单的“操作”项有一个名为“连接到另一台计算机”的菜单,点击它如下图所示: 

输入远程计算机的IP,然后点支烟,等上数十分钟,忍受象死机的折磨,然后打开下图: 

选择远程计算机的安全性日志,右键选择它的属性: 

点击属性里的“清除日志”按钮,OK!安全日志清除完毕!同样的忍受痛苦去清除系统日志! 
目前在不借助第三工具的情况下,能很快,很顺利地清除FTP、WWW还有Schedlgu日志,就是系统日志和安全日志属于Windows2000的严密守护,只能用本地的事件查看器来打开它,因为在图形界面下,加之网速又慢,如果你银子多,时间闲,还是可以清除它的。综上所述,介绍了Windows2000的日志文件以及删除方法,但是你必须是Administrator,注意必须作为管理员或管理组的成员登录才能打开安全日志记录。该过程适用于 Windows 2000 Professional 计算机,也适用于作为独立服务器或成员服务器运行的 Windows 2000 Server 计算机。

相关阅读 Windows错误代码大全 Windows错误代码查询激活windows有什么用Mac QQ和Windows QQ聊天记录怎么合并 Mac QQ和Windows QQ聊天记录Windows 10自动更新怎么关闭 如何关闭Windows 10自动更新windows 10 rs4快速预览版17017下载错误问题Win10秋季创意者更新16291更新了什么 win10 16291更新内容windows10秋季创意者更新时间 windows10秋季创意者更新内容kb3150513补丁更新了什么 Windows 10补丁kb3150513是什么

文章评论
发表评论

热门文章 360快剪辑怎么使用 36金山词霸如何屏幕取词百度收购PPS已敲定!3

最新文章 微信3.6.0测试版更新了微信支付漏洞会造成哪 360快剪辑怎么使用 360快剪辑软件使用方法介酷骑单车是什么 酷骑单车有什么用Apple pay与支付宝有什么区别 Apple pay与贝贝特卖是正品吗 贝贝特卖网可靠吗

人气排行 xp系统停止服务怎么办?xp系统升级win7系统方电脑闹钟怎么设置 win7电脑闹钟怎么设置office2013安装教程图解:手把手教你安装与qq影音闪退怎么办 QQ影音闪退解决方法VeryCD镜像网站逐个数,电驴资料库全集同步推是什么?同步推使用方法介绍QQ2012什么时候出 最新版下载EDiary——一款好用的电子日记本