Windows2000的日志文件詳述及刪除方法
日志文件默認(rèn)位置:應(yīng)用程序日志、安全日志、系統(tǒng)日志、DNS日志默認(rèn)位置:%sys temroot%sys tem32config,默認(rèn)文件大小512KB,管理員都會(huì)改變這個(gè)默認(rèn)大小。安全日志文件:%sys temroot%sys tem32configSecEvent.EVT系統(tǒng)日志文件:%sys temroot%sys tem32configSysEvent.EVT應(yīng)用程序日志文件:%sys temroot%sys tem32configAppEvent.EVTInternet信息服務(wù)FTP日志默認(rèn)位置:%sys temroot%sys tem32logfilesmsftpsvc1,默認(rèn)每天一個(gè)日志Internet信息服務(wù)WWW日志默認(rèn)位置:%sys temroot%sys tem32logfilesw3svc1,默認(rèn)每天一個(gè)日志Scheduler服務(wù)日志默認(rèn)位置:%sys temroot%schedlgu.txt
以上日志在注冊(cè)表里的鍵:應(yīng)用程序日志,安全日志,系統(tǒng)日志,DNS服務(wù)器日志,它們這些LOG文件在注冊(cè)表中的:HKEY_LOCAL_MacHINEsys temCurrentControlSetServicesEventlog有的管理員很可能將這些日志重定位。其中EVENTLOG下面有很多的子表,里面可查到以上日志的定位目錄。Schedluler服務(wù)日志在注冊(cè)表中HKEY_LOCAL_MACHINESOFTWAREMicrosoftSchedulingAgent
FTP和WWW日志詳解:FTP日志和WWW日志默認(rèn)情況,每天生成一個(gè)日志文件,包含了該日的一切記錄,文件名通常為ex(年份)(月份)(日期),例如ex001023,就是2000年10月23日產(chǎn)生的日志,用記事本就可直接打開(kāi),如下例:#Software: Microsoft Internet Information Services 5.0(微軟IIS5.0)#Version: 1.0 (版本1.0)#Date: 20001023 0315 (服務(wù)啟動(dòng)時(shí)間日期)#FIElds: time cip csmethod csuristem scstatus0315 127.0.0.1 [1]USER administator 331 (IP地址為127.0.0.1用戶(hù)名為administator試圖登錄)0318 127.0.0.1 [1]PASS – 530 (登錄失敗)032:04 127.0.0.1 [1]USER nt 331 (IP地址為127.0.0.1用戶(hù)名為nt的用戶(hù)試圖登錄)032:06 127.0.0.1 [1]PASS – 530 (登錄失敗)032:09 127.0.0.1 [1]USER cyz 331 (IP地址為127.0.0.1用戶(hù)名為cyz的用戶(hù)試圖登錄)0322 127.0.0.1 [1]PASS – 530 (登錄失敗)0322 127.0.0.1 [1]USER administrator 331 (IP地址為127.0.0.1用戶(hù)名為administrator試圖登錄)0324 127.0.0.1 [1]PASS – 230 (登錄成功)0321 127.0.0.1 [1]MKD nt 550 (新建目錄失敗)0325 127.0.0.1 [1]QUIT – 550 (退出FTP程序)
從日志里就能看出IP地址為127.0.0.1的用戶(hù)一直試圖登錄系統(tǒng),換了四次用戶(hù)名和密碼才成功,管理員立即就可以得知管理員的入侵時(shí)間、IP地址以及探測(cè)的用戶(hù)名,如上例入侵者最終是用administrator用戶(hù)名進(jìn)入的,那么就要考慮更換此用戶(hù)名的密碼,或者重命名administrator用戶(hù)。
WWW日志W(wǎng)WW服務(wù)同F(xiàn)TP服務(wù)一樣,產(chǎn)生的日志也是在%sys temroot%sys tem32LogFilesW3SVC1目錄下,默認(rèn)是每天一個(gè)日志文件,下面是一個(gè)典型的WWW日志文件#Software: Microsoft Internet Information Services 5.0#Version: 1.0#Date: 20001023 03:091#Fields: date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent)20001023 03:091 192.168.1.26 192.168.1.37 80 GET /iisstart.asp 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt)20001023 03:094 192.168.1.26 192.168.1.37 80 GET /pagerror.gif 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt)
通過(guò)分析第六行,可以看出2000年10月23日,IP地址為192.168.1.26的用戶(hù)通過(guò)訪問(wèn)IP地址為192.168.1.37機(jī)器的80端口,查看了一個(gè)頁(yè)面iisstart.asp,這位用戶(hù)的瀏覽器為compatible;+MSIE+5.0;+Windows+98+DigExt,有經(jīng)驗(yàn)的管理員就可通過(guò)安全日志、FTP日志和WWW日志來(lái)確定入侵者的IP地址以及入侵時(shí)間。既使你刪掉FTP和WWW日志,但是還是會(huì)在系統(tǒng)日志和安全日志里記錄下來(lái),但是較好的是只顯示了你的機(jī)器名,并沒(méi)有你的IP,例如上面幾個(gè)探測(cè)之后,系統(tǒng)日志將會(huì)產(chǎn)生下面的記錄:
一眼就能看出2000年10月23日,16點(diǎn)17分,系統(tǒng)因?yàn)槟承┦录霈F(xiàn)警告,雙擊頭一個(gè),打開(kāi)它的屬性:
屬性里記錄了出現(xiàn)警告的原因,是因?yàn)橛腥嗽噲D用administator用戶(hù)名登錄,出現(xiàn)一個(gè)錯(cuò)誤,來(lái)源是FTP服務(wù)。同時(shí)安全記錄里寫(xiě)將同時(shí)記下:(Ekin:此圖不是此次示例的安全日志)
在上圖中可以看到兩種圖標(biāo):鑰匙(表示成功)和鎖(表示當(dāng)用戶(hù)在做什么時(shí)被系統(tǒng)停止)。接連四個(gè)鎖圖標(biāo),表示四次失敗審核,事件類(lèi)型是帳戶(hù)登錄和登錄、注銷(xiāo)失敗,日期為2000年10月18日,時(shí)間為1002,這就需要重點(diǎn)觀察。雙點(diǎn)第一個(gè)失敗審核事件的,即得到此事件的詳細(xì)描述,如下圖12所示:
分析上圖,我們可以得知有個(gè)CYZ的工作站,用administator用戶(hù)名登錄本機(jī),但是因?yàn)橛脩?hù)名未知或密碼錯(cuò)誤(實(shí)際為密碼錯(cuò)誤)未能成功。另外還有DNS服務(wù)器日志,不太重要,就此略過(guò)(其實(shí)是我沒(méi)有看過(guò)它)
知道了Windows2000日志的詳細(xì)情況,下面就要學(xué)會(huì)怎樣刪除這些日志:通過(guò)上面,得知日志文件通常有某項(xiàng)服務(wù)在后臺(tái)保護(hù),除了系統(tǒng)日志、安全日志、應(yīng)用程序日志等等,它們的服務(wù)是WinDos2000的關(guān)鍵進(jìn)程,而且與注冊(cè)表文件在一塊,當(dāng)Windows2000啟動(dòng)后,啟動(dòng)服務(wù)來(lái)保護(hù)這些文件,所以很難刪除,而FTP日志和WWW日志以及Scedlgu日志都是可以輕易地刪除的。首先要取得Admnistrator密碼或Administrators組成員之一,然后Telnet到遠(yuǎn)程主機(jī),先來(lái)試著刪除FTP日志:D:SERVER>del schedlgu.txtD:SERVERSchedLgU.Txt進(jìn)程無(wú)法訪問(wèn)文件,因?yàn)榱硪粋€(gè)程序正在使用此文件。說(shuō)過(guò)了,后臺(tái)有服務(wù)保護(hù),先把服務(wù)停掉!D:SERVER>net stop "task scheduler"下面的服務(wù)依賴(lài)于 Task Scheduler 服務(wù)。停止 Task Scheduler 服務(wù)也會(huì)停止這些服務(wù)。
Remote Storage Engine
是否繼續(xù)此操作? (Y/N) [N]: yRemote Storage Engine 服務(wù)正在停止....Remote Storage Engine 服務(wù)已成功停止。
Task Scheduler 服務(wù)正在停止.Task Scheduler 服務(wù)已成功停止。OK,它的服務(wù)停掉了,同時(shí)也停掉了與它有依賴(lài)關(guān)系的服務(wù)。再來(lái)試著刪一下!D:SERVER>del schedlgu.txtD:SERVER>沒(méi)有反應(yīng)?成功了!下一個(gè)是FTP日志和WWW日志,原理都是一樣,先停掉相關(guān)服務(wù),然后再刪日志!D:SERVERsys tem32LogFilesMSFTPSVC1>del ex*.log
D:SERVERsys tem32LogFilesMSFTPSVC1>以上操作成功刪除FTP日志!再來(lái)WWW日志!D:SERVERsys tem32LogFilesW3SVC1>del ex*.log
D:SERVERsys tem32LogFilesW3SVC1>OK!恭喜,現(xiàn)在簡(jiǎn)單的日志都已成功刪除。下面就是很難的安全日志和系統(tǒng)日志了,守護(hù)這些日志的服務(wù)是Event Log,試著停掉它!D:SERVERsys tem32LogFilesW3SVC1>net stop eventlog這項(xiàng)服務(wù)無(wú)法接受請(qǐng)求的 "暫停" 或 "停止" 操作。KAO,I 服了 U,沒(méi)辦法,它是關(guān)鍵服務(wù)。如果不用第三方工具,在命令行上根本沒(méi)有刪除安全日志和系統(tǒng)日志的可能!所以還是得用雖然簡(jiǎn)單但是速度慢得死機(jī)的辦法:打開(kāi)“控制面板”的“管理工具”中的“事件查看器”(98沒(méi)有,知道用Win2k的好處了吧),在菜單的“操作”項(xiàng)有一個(gè)名為“連接到另一臺(tái)計(jì)算機(jī)”的菜單,點(diǎn)擊它如下圖所示:
輸入遠(yuǎn)程計(jì)算機(jī)的IP,然后點(diǎn)支煙,等上數(shù)十分鐘,忍受象死機(jī)的折磨,然后打開(kāi)下圖:
選擇遠(yuǎn)程計(jì)算機(jī)的安全性日志,右鍵選擇它的屬性:
點(diǎn)擊屬性里的“清除日志”按鈕,OK!安全日志清除完畢!同樣的忍受痛苦去清除系統(tǒng)日志!目前在不借助第三工具的情況下,能很快,很順利地清除FTP、WWW還有Schedlgu日志,就是系統(tǒng)日志和安全日志屬于Windows2000的嚴(yán)密守護(hù),只能用本地的事件查看器來(lái)打開(kāi)它,因?yàn)樵趫D形界面下,加之網(wǎng)速又慢,如果你銀子多,時(shí)間閑,還是可以清除它的。綜上所述,介紹了Windows2000的日志文件以及刪除方法,但是你必須是Administrator,注意必須作為管理員或管理組的成員登錄才能打開(kāi)安全日志記錄。該過(guò)程適用于 Windows 2000 Professional 計(jì)算機(jī),也適用于作為獨(dú)立服務(wù)器或成員服務(wù)器運(yùn)行的 Windows 2000 Server 計(jì)算機(jī)。
至此,Windows2000安全知識(shí)基礎(chǔ)講座完畢,還有幾句話(huà)要講,大家也看出來(lái)了,雖然FTP等等日志可以很快清除,但是系統(tǒng)日志和安全日志卻不是那么快、那么順利地能刪除,如果遇到聰明的管理員,將日志文件轉(zhuǎn)移到另一個(gè)地方,那更是難上加難,所以奉勸大家,千萬(wàn)不要拿國(guó)內(nèi)的主機(jī)做試驗(yàn),國(guó)內(nèi)的法律很?chē)?yán)呀!今天吃飯時(shí),聽(tīng)說(shuō)有兩個(gè)人開(kāi)玩笑,一個(gè)人把另外一個(gè)人的東西藏起來(lái)了,結(jié)果那個(gè)人一急,報(bào)案了,于是藏東西那個(gè)人被判四年刑!!法官說(shuō)法律是不開(kāi)玩笑的!!!所以大家一定要牢記這點(diǎn)!(不要說(shuō)我老生常談)如果大家有什么不明白地方,請(qǐng)?jiān)诠夂陀白诱搲釂?wèn)!謝謝!
在上圖中可以看到兩種圖標(biāo):鑰匙(表示成功)和鎖(表示當(dāng)用戶(hù)在做什么時(shí)被系統(tǒng)停止)。接連四個(gè)鎖圖標(biāo),表示四次失敗審核,事件類(lèi)型是帳戶(hù)登錄和登錄、注銷(xiāo)失敗,日期為2000年10月18日,時(shí)間為1002,這就需要重點(diǎn)觀察。雙點(diǎn)第一個(gè)失敗審核事件的,即得到此事件的詳細(xì)描述,如下圖12所示:分析上圖,我們可以得知有個(gè)CYZ的工作站,用administator用戶(hù)名登錄本機(jī),但是因?yàn)橛脩?hù)名未知或密碼錯(cuò)誤(實(shí)際為密碼錯(cuò)誤)未能成功。另外還有DNS服務(wù)器日志,不太重要,就此略過(guò)(其實(shí)是我沒(méi)有看過(guò)它)
知道了Windows2000日志的詳細(xì)情況,下面就要學(xué)會(huì)怎樣刪除這些日志:通過(guò)上面,得知日志文件通常有某項(xiàng)服務(wù)在后臺(tái)保護(hù),除了系統(tǒng)日志、安全日志、應(yīng)用程序日志等等,它們的服務(wù)是Windos2000的關(guān)鍵進(jìn)程,而且與注冊(cè)表文件在一塊,當(dāng)Windows2000啟動(dòng)后,啟動(dòng)服務(wù)來(lái)保護(hù)這些文件,所以很難刪除,而FTP日志和WWW日志以及Scedlgu日志都是可以輕易地刪除的。首先要取得Admnistrator密碼或Administrators組成員之一,然后Telnet到遠(yuǎn)程主機(jī),先來(lái)試著刪除FTP日志:D:SERVER>del schedlgu.txtD:SERVERSchedLgU.Txt進(jìn)程無(wú)法訪問(wèn)文件,因?yàn)榱硪粋€(gè)程序正在使用此文件。說(shuō)過(guò)了,后臺(tái)有服務(wù)保護(hù),先把服務(wù)停掉!D:SERVER>net stop "task scheduler"下面的服務(wù)依賴(lài)于 Task Scheduler 服務(wù)。停止 Task Scheduler 服務(wù)也會(huì)停止這些服務(wù)。
Remote Storage Engine
是否繼續(xù)此操作? (Y/N) [N]: yRemote Storage Engine 服務(wù)正在停止....Remote Storage Engine 服務(wù)已成功停止。
Task Scheduler 服務(wù)正在停止.Task Scheduler 服務(wù)已成功停止。OK,它的服務(wù)停掉了,同時(shí)也停掉了與它有依賴(lài)關(guān)系的服務(wù)。再來(lái)試著刪一下!D:SERVER>del schedlgu.txtD:SERVER>沒(méi)有反應(yīng)?成功了!下一個(gè)是FTP日志和WWW日志,原理都是一樣,先停掉相關(guān)服務(wù),然后再刪日志!D:SERVERsys tem32LogFilesMSFTPSVC1>del ex*.log
D:SERVERsys tem32LogFilesMSFTPSVC1>以上操作成功刪除FTP日志!再來(lái)WWW日志!D:SERVERsys tem32LogFilesW3SVC1>del ex*.log
D:SERVERsys tem32LogFilesW3SVC1>OK!恭喜,現(xiàn)在簡(jiǎn)單的日志都已成功刪除。下面就是很難的安全日志和系統(tǒng)日志了,守護(hù)這些日志的服務(wù)是Event Log,試著停掉它!D:SERVERsys tem32LogFilesW3SVC1>net stop eventlog這項(xiàng)服務(wù)無(wú)法接受請(qǐng)求的 "暫停" 或 "停止" 操作。KAO,I 服了 U,沒(méi)辦法,它是關(guān)鍵服務(wù)。如果不用第三方工具,在命令行上根本沒(méi)有刪除安全日志和系統(tǒng)日志的可能!所以還是得用雖然簡(jiǎn)單但是速度慢得死機(jī)的辦法:打開(kāi)“控制面板”的“管理工具”中的“事件查看器”(98沒(méi)有,知道用Win2k的好處了吧),在菜單的“操作”項(xiàng)有一個(gè)名為“連接到另一臺(tái)計(jì)算機(jī)”的菜單,點(diǎn)擊它如下圖所示:
輸入遠(yuǎn)程計(jì)算機(jī)的IP,然后點(diǎn)支煙,等上數(shù)十分鐘,忍受象死機(jī)的折磨,然后打開(kāi)下圖:
選擇遠(yuǎn)程計(jì)算機(jī)的安全性日志,右鍵選擇它的屬性:
點(diǎn)擊屬性里的“清除日志”按鈕,OK!安全日志清除完畢!同樣的忍受痛苦去清除系統(tǒng)日志!目前在不借助第三工具的情況下,能很快,很順利地清除FTP、WWW還有Schedlgu日志,就是系統(tǒng)日志和安全日志屬于Windows2000的嚴(yán)密守護(hù),只能用本地的事件查看器來(lái)打開(kāi)它,因?yàn)樵趫D形界面下,加之網(wǎng)速又慢,如果你銀子多,時(shí)間閑,還是可以清除它的。綜上所述,介紹了Windows2000的日志文件以及刪除方法,但是你必須是Administrator,注意必須作為管理員或管理組的成員登錄才能打開(kāi)安全日志記錄。該過(guò)程適用于 Windows 2000 Professional 計(jì)算機(jī),也適用于作為獨(dú)立服務(wù)器或成員服務(wù)器運(yùn)行的 Windows 2000 Server 計(jì)算機(jī)。
