来无影 去无踪--windows日志清除 、日志解读、入侵取证

WIN2000，WINXP （一般win7以下版本）

应用程序日志、安全日志、系统日志、FTP日志、WWW日志、DNS服务器日志等等

应用程序日志文件：%systemroot%\system32\config\AppEvent.EVT 
安全日志文件：%systemroot%\system32\config\SecEvent.EVT 

系统日志文件：%systemroot%\system32\config\SysEvent.EVT 

DNS日志默认位置：%systemroot%\system32\config\DnsEvent.Evt，默认文件大小512KB，管理员都会改变这个默认大小。

       一般电脑上可能看不到DNS日志，因为没有安装DNS服务器

FTP日志默认位置：%systemroot%\system32\logfiles\msftpsvc1\，默认每天一个
WWW日志默认位置：%systemroot%\system32\logfiles\w3svc1\，默认每天一个日志

win7日志路径

%systemroot%\ssystem32\winevt\logs\*.evtx(包括 应用程序日志、安全日志、系统日志、硬件、浏览器日志等)

默认的日志路径可以被修改(win7级别通用,所以路径应该从注册表里面查找，不应该直接写在程序里面)

应用程序日志、安全日志、系统日志、DNS服务器日志在注册表位置

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\eventlog\(System,Security,Application)

   子项:File

Scheduler服务日志在注册表:

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent

   子项：LogPath = %SystemRoot%\Tasks\SchedLgU.Txt

手工清除日志的命令:
del c:\\winnt\\system32\\logfiles\\*.* 
del c:\\winnt\\system32\\config\\*.evt 
del c:\\winnt\\system32\\dtclog\\*.*    //我在win2k,win2003,win7系统中没有找到这个文件夹
del c:\\winnt\\system32\\*.log 
del c:\\winnt\\system32\\*.txt 
del c:\\winnt\\*.txt 

del c:\\winnt\\*.log

1.系统日志 通过手工很难清除. 这里我们介绍一个工具 clearlog.exe
使用方法:
Usage: clearlogs [\\computername] <-app / -sec / -sys>
          -app = 应用程序日志
          -sec = 安全日志
          -sys = 系统日志
a. 可以清除远程计算机的日志
** 先用ipc连接上去: net use \\ip\ipc$ 密码/user:用户名
** 然后开始清除: 方法 
clearlogs \\ip -app 这个是清除远程计算机的应用程序日志
clearlogs \\ip -sec 这个是清除远程计算机的安全日志
clearlogs \\ip -sys 这个是清除远程计算机的系统日志
b.清除本机日志: 如果和远程计算机的不能空连接. 那么就需要把这个工具传到远程计算机上面
     然后清除.     方法:
clearlogs     -app 这个是清除远程计算机的应用程序日志
clearlogs     -sec 这个是清除远程计算机的安全日志
clearlogs     -sys 这个是清除远程计算机的系统日志
安全日志已经被清除.Success: The log has been cleared     成功.
为了更安全一点.同样你也可以建立一个批处理文件.让自动清除. 做好批处理文件.然后用at命令建立一个计划任务. 让自动运行. 之后你就可以离开你的肉鸡了. 
例如建立一个 c.bat
rem ============================== 开始
@echo off
clearlogs -app
clearlogs -sec
clearlogs -sys
del clearlogs.exe
del c.bat
exit
rem ============================== 结束
在你的计算机上面测试的时候 可以不要 @echo off     可以显示出来. 你可以看到结果
第一行表示: 运行时不显示窗口
第二行表示: 清除应用程序日志
第三行表示: 清除安全日志
第四行表示: 清除系统日志
第五行表示: 删除 clearlogs.exe 这个工具
第六行表示: 删除 c.bat 这个批处理文件
第七行表示: 退出
用AT命令. 建立一个计划任务. 这个命令在原来的教程里面和杂志里面都有. 你可以去看看详细的使用方法
AT 时间 c:\c.bat
之后你就可以安全离开了. 这样才更安全一点.
===================================
2.清除iis日志:
工具:cleaniis.exe
使用方法:
iisantidote <logfile dir> <ip or string to hide>
iisantidote <logfile dir><ip or string to hide> stop
stop opiton will stop iis before clearing the files and restart it after
<logfile dir> exemple : c:\winnt\system32\logfiles\w3svc1\ dont forget the \
使用方法解释:
cleaniis.exe iis日志存放的路径 清除参数
什么意思呢？？我来给大家举个例子吧： 
cleaniis c:\winnt\system32\logfiles\w3svc1\ 192.168.0.1
这个表示清除log中所有此IP(192.168.0.1)地址的访问记录.      -----推荐使用这种方法
cleaniis c:\winnt\system32\logfiles\w3svc1\ /shop/admin/ 
这个表示清除这个目录里面的所以的日志
c:\winnt\system32\logfiles\w3svc1 代表是iis日志的位置(windows nt/2000) 这个路径可以改变
c:\windows\system32\logfiles\w3svc1 代表是iis日志的位置(windows xp/2003) 这个路径可以改变
这个测试表示 在日志里面没有这个ip地址. 
我们看一下日志的路径      再来看一下
我们的ip(192.168.0.1)已经没有了.

已经全部清空.

注：我在测试使用 ： LogKiller.exe的时候根本就没有用，对于本占用的文件还是删除不掉，他首先做的是停掉服务，但是日志服务根本就停不了，

反正最好不要用  

同样这个也可以建立批处理. 方法同上面的那个.
===================================
3.清除历史记录及运行的日志:
cleaner.exe
直接运行就可以了.
===================================
4.察看blackice的日志.
这个地方我们可以清除的看到     防火墙的日志.
这个表示 有人发过来带有病毒的email附件.     ip是: 220.184.153.116 
tcp_probe_other     表示 通过tcp 扫描 或者利用别的和你建立连接 通信
这个表示通过端口 80 扫描iis
病毒 nimda
这里需要很多的计算机协议知识. 同时也需要对英语有了解
才能更好的分析 如果对英语不好 你可以装一个金山词霸. 
一般情况下 我们可以 对一些可以不用管. 
一般这三种情况 不用去管. 
最上面的 critical 这个     可以去关注一下 . 一般是确实有别的计算机扫描或者**你的计算机
count 代表次数      intruder 是对方的ip     event 是通过什么方式(协议) 扫描或者想**的 
time表示时间

5.===================================
netstat -an 表示什么意思?
使用这个命令可以察看到和本机的所有的连接.
Proto     Local Address             Foreign Address           State
协议      本地端口及IP地址          远程端口及IP地址         状态
LISTENING     监听状态     表示等待对方连接
ESTABLISHED     正在连接着.
TCP     协议是TCP
UDP     协议是UDP
TCP       192.168.0.10:1115         61.186.97.54:80           ESTABLISHED
这个表示     利用tcp协议 本机ip(192.168.0.10)通过端口:1115 和远程ip(61.186.97.54)端口:80连接
80端口 表示     http     就是你在访问这个网站.

一般情况下远程ip的端口: 80 21 8000 这个都是正常的. 如果是别的 就可以看一下你的计算机了.

                    日志配置与入侵取证----www.hacker.com.cn 制作

 

日志文件通常有应用程序日志，安全日志、系统日志、DNS服务器日志、FTP日志、WWW日志等等，可能会根据服务器所开启的服务不同。当我们用流光探测时，比如说IPC探测，就会在安全日志里迅速地记下流光探测时所用的用户名、时间等等，用FTP探测后，也会立刻在FTP日志中记下IP、时间、探测所用的用户名和密码等等。甚至连流影启动时需要msvcp60.dll这个动库链接库，如果服务器没有这个文件都会在日志里记录下来，这就是为什么不要拿国内主机探测的原因了，他们记下你的IP后会很容易地找到你，只要他想找你！！还有Scheduler日志这也是个重要的LOG，你应该知道经常使用的srv.exe就是通过这个服务来启动的，其记录着所有由Scheduler服务启动的所有行为，如服务的启动和停止。

 

 

　　FTP和WWW日志详解：

 

　　FTP日志和WWW日志默认情况，每天生成一个日志文件，包含了该日的一切记录，文件名通常为ex(年份)(月份)(日期)，例如ex001023，就是2000年10月23日产生的日志，用记事本就可直接打开，如下例：

 

　　#Software: Microsoft Internet Information Services5.0　　(微软IIS5.0)

 

　　#Version: 1.0 (版本1.0)

 

　　#Date: 20001023 0315 (服务启动时间日期)

 

　　#Fields: time cip csmethod csuristem scstatus

 

　　0315 127.0.0.1 [1]USER administator 331　(IP地址为127.0.0.1用户名为administator试图登录)

 

　　0318 127.0.0.1 [1]PASS – 530　(登录失败)

 

　　032:04 127.0.0.1 [1]USER nt 331　(IP地址为127.0.0.1用户名为nt的用户试图登录)

 

　　032:06 127.0.0.1 [1]PASS – 530　(登录失败)

 

　　032:09 127.0.0.1 [1]USER cyz 331　(IP地址为127.0.0.1用户名为cyz的用户试图登录)

 

　　0322 127.0.0.1 [1]PASS – 530　(登录失败)

 

　　0322 127.0.0.1 [1]USER administrator 331　(IP地址为127.0.0.1用户名为administrator试图登录)

 

　　0324 127.0.0.1 [1]PASS – 230　(登录成功)

 

　　0321 127.0.0.1 [1]MKD nt 550　(新建目录失败)

 

　　0325 127.0.0.1 [1]QUIT – 550　(退出FTP程序)

 

　　从日志里就能看出IP地址为127.0.0.1的用户一直试图登录系统，换了四次用户名和密码才成功，管理员立即就可以得知管理员的入侵时间、IP地址以及探测的用户名，如上例入侵者最终是用administrator用户名进入的，那么就要考虑更换此用户名的密码，或者重命名administrator用户。

 

　　WWW日志：

 

　　WWW服务同FTP服务一样，产生的日志也是在%systemroot%/System32/LogFiles/W3SVC1目录下，默认是每天一个日志文件，下面是一个典型的WWW日志文件

 

　　#Software: Microsoft Internet Information Services5.0

 

　　#Version: 1.0

 

　　#Date: 20001023 03:091

 

　　#Fields: date time cip csusername sip sportcsmethod csuristem csuriquery scstatus cs(UserAgent)

 

　　20001023 03:091 192.168.1.26 192.168.1.37 80 GET/iisstart.asp 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt)

 

　　20001023 03:094 192.168.1.26 192.168.1.37 80 GET/pagerror.gif 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt)

 

　　通过分析第六行，可以看出2000年10月23日，IP地址为192.168.1.26的用户通过访问IP地址为192.168.1.37机器的80端口，查看了一个页面iisstart.asp,这位用户的浏览器为compatible;+MSIE+5.0;+Windows+98+DigExt，有经验的管理员就可通过安全日志、FTP日志和WWW日志来确定入侵者的IP地址以及入侵时间。

 

既使你删掉FTP和WWW日志，但是还是会在系统日志和安全日志里记录下来，但是较好的是只显示了你的机器名，并没有你的IP，例如上面几个探测之后，系统日志将会产生下面的记录：一眼就能看出2000年10月23日，16点17分，系统因为某些事件出现警告，双击头一个，打开它的属性：

　　属性里记录了出现警告的原因，

是因为有人试图用administator用户名登录，出现一个错误，来源是FTP服务。同时安全记录里写将同时记下,我们可以看到两种图标：钥匙(表示成功)和锁(表示当用户在做什么时被系统停止)。接连四个锁图标，表示四次失败审核，事件类型是帐户登录和登录、注销失败，日期为2000年10月18日，时间为1002，这就需要重点观察。

 

　　双点第一个失败审核事件的，即得到此事件的详细描述，我们可以得知有个CYZ的工作站，用administator用户名登录本机，但是因为用户名未知或密码错误(实际为密码错误)未能成功。