1.事件日志分析

使用eventvwr.msc打开事件查看器

1.1.事件日志类型

应用程序日志

应用程序日志包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。

默认存放路径：C:\Windows\System32\Winevt\Logs\Application.evtx

系统日志

系统日志记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等

默认存放路径：C:\Windows\System32\Winevt\Logs\System.evtx

安全日志

安全日志记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。

默认存放路径：C:\Windows\System32\Winevt\Logs\Security.evtx

Windows Defind日志

如果Windows Defind查杀了某些工具，那么也会记录在日志中

默认存放路径：C:\Windows\System32\Winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx

1.2.常见事件ID

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


事件ID	说明	备注
1074	计算机开机、关机、重启的时间、原因、注释	查看异常关机情况
1102	清理审计日志	发现篡改事件日志的用户
4624	登录成功	检测异常的未经授权的登录
4625	登陆失败	检测可能的暴力密码攻击
4632	成员已添加到启用安全性的本地组	检测滥用授权用户行为
4634	注销用户	
4648	试图使用显式凭据登录	
4657	注册表值被修改	
4663	尝试访问对象	检测未经授权访问文件和文件夹的行为。CTF有些时候常考
4672	administrator超级管理员登录（被赋予特权）	
4698	计划任务已创建	
4699	计划任务已删除	
4700	启用计划任务	
4701	禁用计划任务	
4702	更新计划任务	
4720	创建用户	
4726	删除用户	
4728	成员已添加到启用安全性的全局组	确保添加安全组成员的资格信息
4740	锁定用户账户	检测可能的暴力密码攻击
4756	成员已添加到启用安全性的通用组	
6005	表示日志服务已经启动（表明系统正常启动了）	查看系统启动情况
6006	表示日志服务已经停止（如果在某天没看到6006事件，说明出现关机异常事件了）	查看异常关机情况
6009	非正常关机（ctrl+alt+delete关机）	
5156/5158    出入站日志（很重要）

1.2.1.5156/5158出入站日志

当内网一台主机对你发起请求时，如Ping扫描就会记录在日志中，日志编号为5156

1.2.2.1102日志清除记录

在windows中，若运维人员开启了记录所有安全日志项，那么攻击者在拿到该服务器权限后的所有操作都可以在该安全日志中被记录到。所以清空该Security日志肯定是一个善后的必然选择。

1

通过cmd清除日志：wevtutil cl "Security"

在该日志事件中，执行日志清除动作的是system权限的账户，这肯定是有问题的。因为正常情况下普通用户是没有权限去清除日志的，除非绕过了UAC的普通账户，又或者是system权限的账户。

1.2.3.4720/4726账户管理记录

在安全日志4720中可以查看攻击者创建的用户，即使是隐藏用户都可以查看到。4726则是可以查看到被删除的用户。该事件日志中还可以查看该任务的发起者。

1

net user 用户名 密码 /add

SAM事件ID-4656：那么同样的若权限不足，则该事件也会被记录下来，但是需要注意的是该事件不会是4720，而是事件4656。因为只有对SAM有更改权限才能够对用户进行创建，无论是创建成功还是失败都会触发SAM的请求句柄事件，事件ID都为4656。

1.2.4.4732/4733安全组管理记录

在安全日志4732中可以查看攻击者将创建的用户加入到了哪个用户组中，4733则是查看用户从哪个组中移除了。

1

net localgroup 组名 用户名 /add

1.2.5.计划任务事件ID-4698、4699、4700、4701、4702

在该事件记录信息中，计划任务schtasks以及at都会被记录在内：包括创建者、任务名称、任务内容等。4698 计划任务已创建、4699 计划任务已删除、4700 计划任务已启用、4701 计划任务已停用、4702 计划任务已更。

1.2.6.进程创建及终止记录4688/4689

要记录该日志，需要编辑完毕本地审计策略后重启计算机，重启后便可以记录每一个被启动的进程日志，包括软件进程。那么可以根据是否有运行WINWORD.EXE来判断某个时间点用户是否有打开word进程，举一反三。

2.CTF中常见Windows日志分析题

2.1.蓝桥杯—EZevtx

在安全日志中，查找事件 ID 为 4663 的条目，该事件表示“尝试访问对象”。

1

flag{confidenal.docx}

2.2.软件系统安全赛

小梁的域控机器被黑客攻击了，请你找出一些蛛丝马迹。攻击者在获取域管理员权限后，尝试上传木马文件，但是被杀毒软件查杀，上传的木马文件的绝对路径是什么？（如C:\Windows\cmd.exe）

要查找被查杀的木马文件的话，可以通过找相关查杀软件的日志或者查看 Windows 的事件记录。

在 Windows\System32\winevt\Logs 文件夹找到 Windows Defender 的事件记录文件：Microsoft-Windows-Windows Defender%4Operational.evtx`，然后查看其中内容，很容易在最近的一条事件中找到对应的木马文件：

1

事件ID：1116