windows日志保护与伪造

《windows日志保护与伪造》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Windows日志的保护与伪造志对于系统安全的作用是显而易见的，无论是网络管理员还是黑客都非常重视日志，一个有经验的管理员往往能够迅速通过日志了解到系统的安全性能，而一个聪明的黑客往往会在入侵成功后迅速清除掉对自己不利的日志。下面我们就来讨论一下日志的安全和创建问题。　　一：概述：　　Windows2000的系统日志文件有应用程序日志，安全日志、系统日志、DNS服务器日志等等，应用程序日志、安全日志、系统日志、DNS日志默认位置：%systemroot%system32config，默认文件大小512KB。　　安全日志文件：%systemroot

2、%system32configSecEvent.EVT　　系统日志文件：%systemroot%system32configSysEvent.EVT　　应用程序日志文件：%systemroot%system32configAppEvent.EVT　　这些LOG文件在注册表中的：HKEY_LOCAL_MACHINESystemCurrentControlSetServicesEventlog有的管理员很可能将这些日志重定位。其中EVENTLOG下面有很多的子表，里面可查到以上日志的定位目录。　　二：作为网络管理员：　　1.日志

3、的安全配置：　　默认的条件下，日志的大小为512KB大小，如果超出则会报错，并且不会再记录任何日志。所以首要任务是更改默认大小，具体方法：注册表中HKEY_LOCAL_MACHINESystemCurrentControlSetServicesEventlog对应的每个日志如系统，安全，应用程序等均有一个maxsize子键，修改即可。　　下面给出一个来自微软站点的一个脚本，利用VMI来设定日志最大25MB,并允许日志自行覆盖14天前的日志：　　该脚本利用的是WMI对象,WMI（WindowsManagementInstrumentation）

4、技术是微软提供的Windows下的系统管理工具。通过该工具可以在本地或者管理客户端系统中几乎一切的信息。很多专业的网络管理工具都是基于WMI开发的。该工具在Win2000以及WinNT下是标准工具，在Win9X下是扩展安装选项。所以以下的代码在2000以上均可运行成功。strComputer="."SetobjWMIService=GetObject（"winmgmts:"_&"{impersonationLevel=impersonate,（Security）}!\"&_strComputer&"rootcimv2"）''获得VMI对象Set

5、colLogFiles=objWMIService.ExecQuery_（"Select*fromWin32_NTEventLogFile"）ForeachobjLogfileincolLogFilesstrLogFileName=objLogfile.NameSetwmiSWbemObject=GetObject_（"winmgmts:{impersonationLevel=Impersonate}!\.rootcimv2:"_&"Win32_NTEventlogFile.Name=''"&strLogFileName&"''"）wmiSWb

6、emObject.MaxFileSize=2500000000wmiSWbemObject.OverwriteOutdated=14wmiSWbemObject.Put_Next　　将上述脚本用记事本存盘为vbs为后缀的即可使用。　　另外需要说明的是代码中的strComputer="."在Windows脚本中的含义相当于localhost,如果要在远程主机上执行代码，只需要把"."改动为主机名,当然首先得拥有对方主机的管理员权限并建立IPC连接.本文中的代码所出现的strComputer均可作如此改动。　　2.日志的查询与备份：　　一个优秀的管理员是

7、应该养成备份日志的习惯，如果有条件的话还应该把日志转存到备份机器上或直接转储到打印机上，在这里推荐微软的resourceKit工具箱中的dumpel.exe，他的常用方法：　　dumpel-ffilename-s\server-llog　　-ffilename输出日志的位置和文件名　　-s\server输出远程计算机日志　　-lloglog可选的为system,security,application,可能还有别的如DNS等.　　如要把目标服务器server上的系统日志转存为backupsystem.log可以用以下格式：　　dumpel\se

8、rver-lsystem-fbackupsystem.log　　再利用计划任务可以实现定期备份系统日志。