Windows XP日志文件格式分析

1、Windows XP日志文件格式分析indsXP日志文件格式分析日志文件是inds系統(tǒng)中一個(gè)比擬特殊的文件，它記錄著inds系統(tǒng)中所發(fā)生的一切，如各種系統(tǒng)效勞的啟動(dòng)、運(yùn)行、關(guān)閉等信論文聯(lián)盟.Ll.息。inds日志包括應(yīng)用程序、平安、系統(tǒng)等幾個(gè)局部，應(yīng)用程序日志、平安日志和系統(tǒng)日志對(duì)應(yīng)的文件名為AppEvent.evt、SysEvent.evt。這些文件受到EventLg事件記錄效勞的保護(hù)只能被清空，但是不能刪除某一條記錄。應(yīng)用程序日志、平安日志、系統(tǒng)日志、DNS日志等默認(rèn)存放位置：%systert%syste32nfig，默認(rèn)文件大小512KB。平安日志：%systert%syste32nfi

2、gSeEvent.EVT系統(tǒng)日志：%systert%syste32nfigSysEvent.EVT應(yīng)用程序日志：%systert%syste32nfigAppEvent.EVT可以在注冊(cè)表中修改這些LG文件的默認(rèn)存放位置：HKEY_LAL_AHINESysteurrentntrlSetServiesEventlg2日志文件的數(shù)據(jù)構(gòu)造2.1日志文件頭構(gòu)造分析indsSDN中日志文件頭的構(gòu)造體數(shù)據(jù)類(lèi)型如下：typedefstrut_EVENTLGHEADEREVENTLGHEADER,*PEVENTLGHEADER為了更為直觀地展現(xiàn)出日志文件頭的儲(chǔ)存構(gòu)造我們用inhex翻開(kāi)一個(gè)日志記錄為空的日志文

3、件，沒(méi)有事件記錄，只有文件頭和文件尾。如圖1所示?？梢钥吹角叭泄?8個(gè)字節(jié)是文件頭局部，接下來(lái)的40個(gè)字節(jié)是文件尾局部，之間沒(méi)有事件記錄。文件頭局部其內(nèi)容和日志文件頭構(gòu)造體相一致。在這里由于日志文件的內(nèi)容是空的，所以Startffset第一條最早日志記錄的文件內(nèi)偏移量和Endffset文件尾的文件內(nèi)偏移量一樣都是0 x30。這是一個(gè)空日志文件，由于沒(méi)有事件記錄所以ldestRerdNuber第一條最早日志記錄的記錄號(hào)為00000000。圖1文件頭和文件尾2.2日志文件尾構(gòu)造分析indsSDN中日志文件尾的構(gòu)造體數(shù)據(jù)類(lèi)型如下：typedefstrut_EVENTLGEFEVENTLGEF,*P

4、EVENTLGEF;在圖1中所示的日志文件，是把日志里的事件記錄清空后得到的空日志文件，所以文件尾中的ldestRerdNuber值是1而不是0，EndRerd值0 xf4710500和urrentRerdNuber值0 x74060000都是日志事件記錄清空前的值，系統(tǒng)并沒(méi)有將其立即更新，而是等到再寫(xiě)入新事件記錄時(shí)再更新。假如清空日志之前再產(chǎn)生一條記錄的話，那么它的文件內(nèi)偏移量將是0 xf4710500記錄號(hào)將是0 x74060000，即第1652個(gè)記錄0 x674=1652。2.3日志事件記錄構(gòu)造分析indsSDN中日志事件記錄的構(gòu)造體數(shù)據(jù)類(lèi)型如下：typedefstrut_EVENTLG

5、RERDEVENTLGRERD,*PEVENTLGRERD;如今我們用inhex翻開(kāi)AppEvent.Evt文件，以其中一個(gè)事件記錄為例來(lái)分析事件記錄的存儲(chǔ)構(gòu)造。由文件頭局部的內(nèi)容可以看出這個(gè)日志文件有3條事件記錄，因?yàn)閡rrentRerdNuber值為40018H04000000。文件的總大小為0020H000001000 x10000即64K，第一條事件記錄從0030H處開(kāi)場(chǎng)，大小為對(duì)212(0 xd4)個(gè)字節(jié)，我們就以這條記錄為例來(lái)分析。0030HD4000000Length該記錄的長(zhǎng)度為212個(gè)字節(jié)0034H466465Reserved保存值0038H01000000RerdNuber

6、記錄號(hào)，當(dāng)前是第1條記錄003HD4449D4TieGenerated時(shí)間代碼0040HD5449D4Tieritten時(shí)間代碼0044HFB430040EventID事件ID號(hào)為174030 x43fb0048H04000100EventType事件類(lèi)型的代碼有1表示錯(cuò)誤，2表示警告，4表示信息，8成功審核等，這里的代碼為4，表示信息。高位字是消息量NuStrings004H02000000Eventategry事件類(lèi)別為2，高位字是ReservedFlags事件的保存標(biāo)記0050H00000000lsingRerdNuber事件的完畢記錄數(shù)其值為00054H7A000000Stringff

7、set事件消息的偏移量指本領(lǐng)件記錄內(nèi)的偏移量，本記錄開(kāi)場(chǎng)于30H，所以事件消息的文件內(nèi)偏移量應(yīng)為AA0058H00000000UserSidLength用戶(hù)平安標(biāo)識(shí)符的大小，假如沒(méi)有那么為0005H7A000000UserSidffset用戶(hù)平安標(biāo)識(shí)符的偏移量0060H46000000DataLength對(duì)事件進(jìn)展描繪的數(shù)據(jù)長(zhǎng)度0064H86000000Dataffset對(duì)事件描繪的數(shù)據(jù)偏移量0068H0087H的內(nèi)容是信息來(lái)源，每個(gè)字母占用兩個(gè)字節(jié)空間0088H00A7H的內(nèi)容是計(jì)算機(jī)名00A8H00B5H效勞閑置時(shí)間45856秒00B6H00FBH事件的描繪數(shù)據(jù)大小為0 x46字節(jié)00FH

8、00000000描繪數(shù)據(jù)完畢0100HD4000000事件記錄的長(zhǎng)度，事件記錄內(nèi)容完畢。3手工刪除修改事件記錄方法實(shí)現(xiàn)對(duì)indsXP日志的文件頭，文件尾和單條事件記錄的構(gòu)造和存儲(chǔ)方式都已經(jīng)理解透徹了，根據(jù)日志文件的構(gòu)造來(lái)刪除記錄。在事件效勞EventLg已啟動(dòng)的情況下，由于系統(tǒng)對(duì)日志文件進(jìn)展了保護(hù)，一般情況下是無(wú)法修改這些論文聯(lián)盟.Ll.文件的，我們先把日志文件備份出來(lái)對(duì)某些記錄進(jìn)展刪除，然后用修改后的日志文件覆蓋原有的日志文件來(lái)到達(dá)日志內(nèi)容修改的目的。理解了日志文件的構(gòu)造及系統(tǒng)的檢查驗(yàn)證機(jī)制后理論上是可以隨意更改事件記錄內(nèi)容的，但是由于涉及到很多的偏移量值，有的東西修改起來(lái)比擬費(fèi)事。4完畢語(yǔ)本文詳盡描繪了indsXP日志文件的構(gòu)造