Win2000日志详述及删除方法
注意：本文只能作为研讨和学习之用，不能作为粉碎别人呆板的参考。
Windows2000的日记文件通常有应用步伐日记，安整日记、体系日记、DNS服务器日记、FTP日记、WWW日记等等，可能会凭据服务器所开启的服务差别。当我们用流光探测时，比如说IPC探测，就会在安整日记里敏捷地记下流光探测时所用的用户名、时间等等，用FTP探测后，也会立即在FTP日记中记下IP、时间、探测所用的用户名和密码等等。甚至连流影启动时必要msvcp60.dll这个动库链接库，要是服务器没有这个文件都市在日记里记录上去，这就是为什么不要拿海内主机探测的缘故原由了，他们记下你的IP后会很容易地找到你，只要他想找你！！另有Scheduler日记这也是个重要的LOG，你应该知道每每利用的srv.exe就是通过这个服务来启动的，其记录着所有由Scheduler服务启动的所有举动，如服务的启动和停止。
日记文件默许地位：
应用步伐日记、安整日记、体系日记、DNS日记默许地位：%systemroot%\system32\config，默许文件大小512KB，办理员都市转变这个默许大小。
安整日记文件：%systemroot%\system32\config\SecEvent.EVT
体系日记文件：%systemroot%\system32\config\SysEvent.EVT
应用步伐日记文件：%systemroot%\system32\config\AppEvent.EVT
Internet信息服务FTP日记默许地位：%systemroot%\system32\logfiles\msftpsvc1\，默许每天一个日记
Internet信息服务WWW日记默许地位：%systemroot%\system32\logfiles\w3svc1\，默许每天一个日记
Scheduler服务日记默许地位：%systemroot%\schedlgu.txt
以上日记在注册表里的键：
应用步伐日记，安整日记，体系日记，DNS服务器日记，它们这些LOG文件在注册表中的：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog
有的办理员很可能将这些日记重定位。此中EVENTLOG下面有许多的子表，内里可查到以上日记的定位目录。
Schedluler服务日记在注册表中
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent
FTP和WWW日记详解：
FTP日记和WWW日记默许环境，每天天生一个日记文件，包罗了该日的一牢记录，文件名通常为ex（年份）（月份）（日期），例如ex001023，就是2000年10月23日产生的日记，用记事本就可直接打开，如下例：
#Software: Microsoft Internet Information Services 5.0 （微软IIS5.0）
#Version: 1.0 （版本1.0）
#Date: 20001023 0315 （服务启动时间日期）
#Fields: time cip csmethod csuristem scstatus
0315 127.0.0.1 [1]USER administator 331 （IP地址为127.0.0.1用户名为administator试图登录）
0318 127.0.0.1 [1]PASS – 530 （登录失败）
032:04 127.0.0.1 [1]USER nt 331 （IP地址为127.0.0.1用户名为nt的用户试图登录）
032:06 127.0.0.1 [1]PASS – 530 （登录失败）
032:09 127.0.0.1 [1]USER cyz 331 （IP地址为127.0.0.1用户名为cyz的用户试图登录）
0322 127.0.0.1 [1]PASS – 530 （登录失败）
0322 127.0.0.1 [1]USER administrator 331 （IP地址为127.0.0.1用户名为administrator试图登录）
0324 127.0.0.1 [1]PASS – 230 （登录成功）
0321 127.0.0.1 [1]MKD nt 550 （新建目录失败）
0325 127.0.0.1 [1]QUIT – 550 （退出FTP步伐）
从日记里就能看出IP地址为127.0.0.1的用户一直试图登录体系，换了四次用户名和密码才成功，办理员立即就可以得知办理员的入侵时间、IP地址以及探测的用户名，如上例入侵者最终是用administrator用户名进入的，那么就要思量调换此用户名的密码，或者重定名administrator用户。
WWW日记
WWW服务同FTP服务一样，产生的日记也是在%systemroot%\System32\LogFiles\W3SVC1目录下，默许是每天一个日记文件，下面是一个典型的WWW日记文件
#Software: Microsoft Internet Information Services 5.0
#Version: 1.0
#Date: 20001023 03:091
#Fields: date time cip csusername sip sport csmethod csuristem csuriquery scstatus cs(UserAgent)
20001023 03:091 192.168.1.26 192.168.1.37 80 GET /iisstart.asp 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt)
20001023 03:094 192.168.1.26 192.168.1.37 80 GET /pagerror.gif 200 Mozilla/4.0+(compatible;+MSIE+5.0;+Windows+98;+DigExt)
通太过析第六行，可以看出2000年10月23日，IP地址为192.168.1.26的用户通过拜访IP地址为192.168.1.37呆板的80端口，检察了一个页面iisstart.asp,这位用户的浏览器为compatible;+MSIE+5.0;+Windows+98+DigExt，有履历的办理员就可通过安整日记、FTP日记和WWW日记来确定入侵者的IP地址以及入侵时间。
既使你删掉FTP和WWW日记，但是还是会在体系日记和安整日记里记录上去，但是较好的是只显示了你的呆板名，并没有你的IP，例如下面几个探测之后，体系日记将会产生下面的记录：一眼就能看出2000年10月23日，16点17分，体系因为某些变乱呈现告诫，双击头一个，打开它的属性：
属性里记录了呈现告诫的缘故原由，是因为有人试图用administator用户名登录，呈现一个错误，来源是FTP服务。同时安全记录里写将同时记下,我们可以看到两种图标：钥匙（表示成功）和锁（表示当用户在做什么时被体系停止）。接连四个锁图标，表示四次失败审核，变乱范例是帐户登录和登录、刊出失败，日期为2000年10月18日，时间为1002，这就必要重点视察。
双点第一个失败审核变乱的，即失掉此变乱的细致描述，我们可以得知有个CYZ的事情站，用administator用户名登录本机，但是因为用户名未知或密码错误（现实为密码错误）未能成功。
另外另有DNS服务器日记，不太重要，就此略过（实在是我没有看过它）
知道了Windows2000日记的细致环境，下面就要学会怎样删除这些日记：
通过下面，得知日记文件通常有某项服务在后台保护，除了体系日记、安整日记、应用步伐日记等等，它们的服务是Windos2000的关键历程，而且与注册表文件在一块，当Windows2000启动后，启动服务来保护这些文件，所以很难删除，而FTP日记和WWW日记以及Scedlgu日记都是可以方便地删除的。
起首要取得Admnistrator密码或Administrators组成员之一，然后Telnet到远程主机，先来试着删除FTP日记：
D:\SERVER>del schedlgu.txt
D:\SERVER\SchedLgU.Txt
历程无法拜访文件，因为另一个步伐正在利用此文件。
说过了，后台有服务保护，先把服务停掉！
D:\SERVER>net stop "task scheduler"
下面的服务依赖于 Task Scheduler 服务。
停止 Task Scheduler 服务也会停止这些服务。
Remote Storage Engine
是否连续此操作? (Y/N) [N]: y
Remote Storage Engine 服务正在停止....
Remote Storage Engine 服务已成功停止。
Task Scheduler 服务正在停止.
Task Scheduler 服务已成功停止。
OK，它的服务停掉了，同时也停掉了与它有依赖关系的服务。再来试着删一下！
D:\SERVER>del schedlgu.txt
D:\SERVER>
没有反响？成功了！下一个是FTP日记和WWW日记，原理都是一样，先停掉相关服务，然后再删日记！
D:\SERVER\system32\LogFiles\MSFTPSVC1>del ex*.log
D:\SERVER\system32\LogFiles\MSFTPSVC1>
以上操作成功删除FTP日记！再来WWW日记！
D:\SERVER\system32\LogFiles\W3SVC1>del ex*.log
D:\SERVER\system32\LogFiles\W3SVC1>
OK！祝贺，如今简单的日记都已成功删除。下面就是很难的安整日记和体系日记了，守护这些日记的服
务是Event Log，试着停掉它！
D:\SERVER\system32\LogFiles\W3SVC1>net stop eventlog
这项服务无法接受请求的 "停息" 或 "停止" 操作。
KAO，I 服了 U，没措施，它是关键服务。要是不用第三方东西，在命令行上底子没有删除安整日记和体系日记的可能！所以还是得用固然简单但是速率慢得死机的措施：打开“控制面板”的“办理东西”中的“变乱检察器”（98没有，知道用Win2k的利益了吧），在菜单的“操作”项有一个名为“毗连到另一台计算机”的菜单，输出远程计算机的IP，然后点支烟，等上数非常钟，忍耐象死机的折磨，选择远程计算机的安全性日记，右键选择它的属性：
点击属性里的“清除日记”按钮，OK！安整日记清除终了！异样的忍耐痛苦去清除体系日记！
如今在不借助第三东西的环境下，能很快，很顺遂地清除FTP、WWW另有Schedlgu日记，就是体系日记和安整日记属于Windows2000的严密守护，只能用本地的变乱检察器来打开它，因为在图形界面下，加之网速又慢，要是你银子多，时间闲，还是可以清除它的。综上所述，先容了Windows2000的日记文件以及删除方法，但是你必需是Administrator，注意必需作为办理员或办理组的成员登录才能打开安整日记记录。该过程适用于 Windows 2000 Professional 计算机，也适用于作为独立服务器或成员服务器运转的
Windows 2000 Server 计算机。
至此，Windows2000安全知识底子讲座终了，另有几句话要讲，各人也看出来了，固然FTP等等日记可以很快清除，但是体系日记和安整日记却不是那么快、那么顺遂地能删除，要是遇到智慧的办理员，将日记文件转移到另一个地方，那更是难上加难，所以奉劝各人，千万不要拿海内的主机做试验。
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
