搜索

[14119] 2019-05-17_记一次Windows日志分析：LogParse

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-05-17_记一次Windows日志分析：LogParse 记 一 次 W i n d o w s 日 志 分 析 ： L o g P a r s e 星 空 1 1 1   F r e e B u f   2 0 1 9 - 0 5 - 1 7 如 今 单 身 的 我 ， 现 在 有 大 把 的 时 间 来 修 炼 我 的 技 术 ， 就 像 圈 内 的 小 伙 伴 们 说 ： 「 要 女 朋 友 有 什 么 用 ？ 这 不 是 影 响 我 写 代 码 吗 ？ 」 希 望 我 未 来 能 达 到 「 重 剑 无 锋 ， 大 巧 不 工 」 的 境 界 。 如 今 单 身 的 我 ， 现 在 有 大 把 的 时 间 来 修 炼 我 的 技 术 ， 就 像 圈 内 的 小 伙 伴 们 说 ： 「 要 女 朋 友 有 什 么 用 ？ 这 不 是 影 响 我 写 代 码 吗 ？ 」 希 望 我 未 来 能 达 到 「 重 剑 无 锋 ， 大 巧 不 工 」 的 境 界 。 下 面 就 给 大 家 分 享 一 下 我 关 于 一 款 功 能 非 常 强 大 的   L o g P a r s e   的 理 解 以 及 如 果 被 黑 客 入 侵 如 何 进 行 调 查 取 证 。 一 、 调 查 取 证 面 临 的 问 题 一 、 调 查 取 证 面 临 的 问 题 W i n d o w s   下 每 个 工 作 站 、 D o m a i n   C o n t r o l l e r   等 都 有   安 全 、 应 用 程 序 和 系 统 日 志 。 最 重 要 的 是 它 们 包 含 了 所 有 有 价 值 的 安 全 信 息 和 系 统 信 息 ， 并 且 会 产 生   I I S   日 志 、 E x c h a n g e   S e r v e r （ 电 邮 服 务 组 件 ) 、 M S S Q L   S e r v e r   L o g   等 ， 由 于 这 些 日 志 的 格 式 和 结 构 的 参 差 不 齐 ， 那 如 何 对 它 们 进 行 高 效 的 调 查 取 证 分 析 呢 ？ L o g P a r s e   横 空 出 世 ， 解 决 了 这 一 问 题 。 二 、 二 、 L o g P a r s e   概 述 概 述 这 点 英 文 我 就 不 翻 译 了 吧 ？ ！ 呃 呃 三 、 三 、 L o g P a r s e r   结 构 结 构 组 成 部 分 有 ： 输 入 处 理 器 、 数 据 引 擎 、 输 出 处 理 器 1 > 输 入 处 理 器 :     支 持 本 地 的 日 志 格 式   e g : I I S   日 志 和   w i n d o w s   日 志   ( . e v t )   文 件 。 L o g P a r s e r   还 可 以 读 取 逗 号 分 隔   ( . C S V )   文 件 、 O D B C   数 据 库 文 件 、 通 过 回 车 划 分 的 文 本 文 件 ； 输 入 处 理 器 把 每 个 日 志 类 型 转 换 成 统 一 格 式 ， 这 样   L o g P a r s e r   数 据 引 擎 就 能 够 像 一 个 数 据 库 处 理 表 格 那 样 处 理 日 志 文 件 。 2 > 数 据 引 擎 ：   在 数 据 引 擎 处 理 输 入 数 据 并 且 产 生 一 个 结 果 以 后 ， 输 出 处 理 器 接 受 并 且 格 式 化 该 结 果 ， 并 输 入 到 一 个 表 中 3 > 输 出 处 理 器 :   与 输 入 处 理 器 一 样 ， 支 持 许 多 文 件 格 式 ， 因 此 你 可 以 任 意 格 式 化 输 出 表 - - - > 从 纯 文 本 文 件 到   S Q L   数 据 库 ， 再 到   X M L   文 件 ， s o   L o g P a r s e r   就 具 有 了 适 合 各 种 各 样 的 日 志 分 类 输 出 功 能 。 我 用   X M I N D   给 大 家 整 理 一 下 吧 ， 大 体 的 架 构 就 是 这 样 的 四 、 四 、 W i n d o w s   登 录 类 型 登 录 类 型
五 、 五 、 L o g P a r s e   分 析 语 法 分 析 语 法 1 > 显 示 方 式 显 示 方 式 - i : E V T   是 指 定 分 析 的 日 志 ， 也 可 分 析   C S V   、 I I S W 3 C   等 日 志 格 式 。 2 > 筛 选 语 句 筛 选 语 句 L o g P a r s e   直 接   S Q L   语 句 ， 关 于 详 细 的   S Q L   可 在   C H M   查 看 。 结 合 分 组 、 提 取 语 句 就 可 以 统 计 出 源   I P ， 时 间 ， 用 户 名 ； 只 需 要 取 出 关 键 列 进 行 判 断 或 者 比 对 ， 就 可 以 从 庞 大 的   w i n d o w s   安 全 日 志 中 提 取 出 安 全 事 件 发 生 后 想 要 关 联 的 信 息 。 O u t p u t : 分 组 别 名 显 示 : O u t p u t : 按 年 月 日 筛 选 使 用   t i m e s t a m p ( ' 年 - 月 - 日 ' ,   ' y y y y - M M - d d ' )   方 法 按 时 间 筛 选 按 照 事 件   I D   分 析 4 6 2 4   是 登 录 成 功 的   I D   信 息 ， 指 定 某 个 关 键 列 中 的 事 件   I D   显 示 出 结 果 六 、 六 、 A n a l y s i s   l o g   o f   W i n d o w s
1 > S e c u r i t y     L o g 筛 选 出 登 录 成 功 的 事 件 （ 4 6 2 4 ） 中 的 登 录 时 间 、 用 户 名 、 登 录 类 型 、 进 程 名 、 源   I P 。 F o c u s   o n : 核 查 管 理 员 登 陆 时 间 段 是 否 为 正 常 时 间 木 马 运 行 时 间 是 否 和 管 理 员 登 陆 时 间 对 应 C o d e : 2 > S y s t e m   L o g F o c u s   o n : 时 间 段 服 务 名 、 服 务 路 径 查 询 C o d e : 3 >   A p p l i c a t i o n   L o g F o c u s   o n : 程 序 运 行 时 间 4 > 分 析 分 析   I I S   日 志 日 志 统 计   I I S   日 志   4 0 4   错 误 的 页 面 5 > 分 析 自 定 义 的 日 志 - f i l e M o d e : 0 ， 为   0   表 示 追 加 ， 为   1   表 示 覆 盖 原 文 件 6 > 用 用   L o g P a r s e r   导 数 据 到 数 据 库 中 导 数 据 到 数 据 库 中 ( 1 )   导 入 到 远 程 数 据 库 存 在 的 表 中 ( 2 )   导 入 到 本 机 数 据 库 存 在 的 表 中 ( 3 )   导 入 并 创 建 表 N o t e : ( 1 )   对 于 已 存 在 的 表 ， 需 要 在 前 面 预 留 两 个 字 段 ， L o g P a r s e r   导 入 的 时 候 ， 会 把 文 件 名 和 行 号 也 导 入 到 表 中 ( 2 )   字 段 类 型 ， 对 于 已 存 在 的 表 ， 里 面 设 置 的 字 段 类 型 必 须 与 要 导 入 的 日 志 文 件 的 类 型 一 一 匹 配 ， 否 则 会 导 入 失 败 ， 对 于 创 建 表 的 情 况 ， 如 果 需 要 导 入 的 字 段 中 包 含 长 整 型 ， 则 导 入 后 的 数 据 也 是 不 对 的 ， 创 建 的 表 为   i n t   型 ， 因 此 建 议 是 手 动 建 表 。 7 > C #   调 用 调 用   L o g P a r s e r   C O M 假 设 某 网 站 有 一 模 块 ， 被 调 用 成 功 或 失 败 都 会 记 一 笔 日 志 到 文 本 文 件 中 ， 这 样 做 的 目 的 是 需 要 实 时 监 控 失 败 率 。 N o t e : 日 志 是 以 一 定 的 格 式 记 录 的 ， 第 一 列 表 示 。 时 间 ， 第 二 列 为   描 述 ， 包 含 调 用 参 数 ， 调 用 是 否 成 功 等 信 息 L o g p a r s e r . e x e   " S E L E C T   d i s t i n c t   c o u n t ( * )   a s   T i m e s , c s - h o s t   a s   H o s t , c s - u r i - s t e m   a s         P a g e U r l   i n t o   ' D : L o g i n f o I I S L o g e r r o r 2 0 1 0 0 4 2 8 . l o g . t x t '   F R O M         D : L o g i n f o I I S L o g 1 0 0 4 2 8 . l o g L o g P a r s e r . e x e   " s e l e c t   d i s t i n c t   H o s t ,   U i d , S e s s i o n I d ,   C A S E   S T R L E N ( T R I M ( A c c o u n t I d ) )         W H E N   N U L L   T H E N   0   E L S E   1   E N D   a s   I s L o g i n   i n t o   C : * * * * . t x t   f r o m         ' D : L o g i n f o L o g I n f o _ 1 0 0 4 2 8 0 9 3 0 . l o g ' L o g P a r s e r . e x e   " S E L E C T   *   F R O M   ' D : L o g I n f o L o g I n f o _ 1 0 0 1 0 3 2 2 3 0 . l o g '   T O   d b o . [ t a b l e ] "         - o : S Q L   - s e r v e r : [ s e r v e r ]   - d r i v e r : " S Q L   S e r v e r "   - d a t a b a s e : [ d a t a b a s e ]         - u s e r n a m e : [ u s e r n a m e ]   - p a s s w o r d : [ p a s s w o r d ]   - i : t s v L o g P a r s e r . e x e   " s e l e c t   *   i n t o   [ d a t a b a s e ] . d b o . [ t a b l e ]   f r o m         ' D : L o g I n f o L o g I n f o _ 1 0 0 1 0 3 2 2 3 0 . l o g ' "   - o : s q l   - d a t a b a s e : [ d t a b a s e ]   - i : t s v         - i C o d e p a g e : 6 5 0 0 1 L o g P a r s e r . e x e   " S E L E C T   *   F R O M   ' D : L o g I n f o L o g I n f o _ 1 0 0 1 0 3 2 2 3 0 . l o g '   T O   d b o . [ t a b l e ] "         - o : S Q L   - s e r v e r : [ s e r v e r ]   - d r i v e r : " S Q L   S e r v e r "   - d a t a b a s e : [ d a t a b a s e ]         - u s e r n a m e : [ u s e r n a m e ]   - p a s s w o r d : [ p a s s w o r d ]   - i : t s v   - c r e a t e t a b l e : O N u s i n g   S y s t e m ; u s i n g   L o g Q u e r y   =   M S U t i l . L o g Q u e r y C l a s s ; u s i n g   L o g R e c o r d S e t   =   M S U t i l . I L o g R e c o r d s e t ; u s i n g   T s v I n p u t F o r m a t   =   M S U t i l . C O M T S V I n p u t C o n t e x t C l a s s ; u s i n g   S y s t e m . W i n d o w s . F o r m s ; c l a s s   L o g P a r s e r U t i l { / *   /   < s u m m a r y >   * / / *   /   计 算 失 败 率   * / / *   /   < / s u m m a r y >   * /
/ *   /   < / s u m m a r y >   * /         p u b l i c   d o u b l e   G e t F a i l u r e R a t e (   s t r i n g   h e a d e r F i l e ,   s t r i n g   l o g P a t h   )         {                 d o u b l e   f a i l u r e R a t e   =   1 ;                 L o g Q u e r y   o L o g Q u e r y   =   n e w   L o g Q u e r y ( ) ;                 T s v I n p u t F o r m a t   o T s v I n p u t F o r m a t   =   n e w   T s v I n p u t F o r m a t ( ) ;                 o T s v I n p u t F o r m a t . i H e a d e r F i l e   =   h e a d e r F i l e ;                 L o g R e c o r d S e t   o R e c o r d S e t ;                 d o u b l e   t o t a l Q t y   =   0 ;                 d o u b l e   s u c c e s s Q t y   =   0 ;                 s t r i n g   q u e r y   =   s t r i n g . E m p t y ;                 t r y                 {                         # r e g i o n   所 有 的 条 数 - - L o g   中 包 含 「 r e c c o d e = 」 的 行 数                         q u e r y   =   @   " s e l e c t   c o u n t ( * )   a s   q t y   f r o m   ' "   +   l o g P a t h   +   " '   w h e r e   l o g i n f o l i k e   ' % r e c c o d e = % ' " ;                         o R e c o r d S e t   =   o L o g Q u e r y . E x e c u t e (   q u e r y ,   o T s v I n p u t F o r m a t   ) ;                         i f   (   ! o R e c o r d S e t . a t E n d ( )   )                         {                                 t o t a l Q t y   =   ( i n t )   o R e c o r d S e t . g e t R e c o r d ( ) . g e t V a l u e (   " q t y "   ) ;                         }                         o R e c o r d S e t . c l o s e ( ) ;                         # e n d r e g i o n                         # r e g i o n   成 功 的 条 数 - - L o g   中 包 含 「 r e c c o d e = 0 , 」 的 行 数                         q u e r y   =   @   " s e l e c t   c o u n t ( * )   a s   q t y   f r o m   ' "   +   l o g P a t h   +   " '   w h e r e   l o g i n f o l i k e   ' % r e c c o d e = 0 , % ' " ;                         o R e c o r d S e t   =   o L o g Q u e r y . E x e c u t e (   q u e r y ,   o T s v I n p u t F o r m a t   ) ;                         i f   (   ! o R e c o r d S e t . a t E n d ( )   )                         {                                 s u c c e s s Q t y   =   ( i n t )   o R e c o r d S e t . g e t R e c o r d ( ) . g e t V a l u e (   " q t y "   ) ;                         }                         o R e c o r d S e t . c l o s e ( ) ;                         # e n d r e g i o n                         i f   (   t o t a l Q t y   >   0   & &   t o t a l Q t y   > =   s u c c e s s Q t y   )                         {                                 f a i l u r e R a t e   =   M a t h . R o u n d (   ( 1   -   s u c c e s s Q t y   /   t o t a l Q t y )   *   1 0 0 ,   2   ) ;                         }                 }                 c a t c h   (   E x c e p t i o n   e x   )                 {                         M e s s a g e B o x . S h o w (   e x . T o S t r i n g ( )   ) ;                 }                 r e t u r n ( f a i l u r e R a t e ) ;         } / *   /   < s u m m a r y >   * / / *   /   计 算 调 用 平 均 时 间   * / / *   /   < / s u m m a r y >   * /
七 、 被 黑 分 析 思 路 七 、 被 黑 分 析 思 路 1   F o c u s   o n 1 > 入 侵 事 件 段 2 > I P （ 外 网   I P - - - > 攻 击 者   I P 、 监 控 - - - > 有 被 远 控 的 内 网   I P ） 3 > 查 看 登 录 成 功 类 型 、 尝 试 登 录 类 型 4 > n e t   u s e r   查 看 是 否 添 加 新 的 用 户 5 > 进 程 和 资 源 分 析         p u b l i c   d o u b l e   G e t A v g L o c k S e c (   s t r i n g   h e a d e r F i l e ,   s t r i n g   l o g P a t h   )         {                 d o u b l e   a v g L o c k S e c   =   0 ;                 L o g Q u e r y   o L o g Q u e r y   =   n e w   L o g Q u e r y ( ) ;                 T s v I n p u t F o r m a t   o T s v I n p u t F o r m a t   =   n e w   T s v I n p u t F o r m a t ( ) ;                 o T s v I n p u t F o r m a t . i H e a d e r F i l e   =   h e a d e r F i l e ;                 t r y                 {                         s t r i n g   q u e r y   =   " s e l e c t A V G ( T O _ R E A L ( E X T R A C T _ V A L U E ( E X T R A C T _ T O K E N ( S U B S T R ( l o g i n f o , I N D E X _ O F ( l o g i n f o , ' l o c k s e c = ' ) ) , 0 , '   ' ) , ' l o c k s e c ' ) ) )   a s   a v g l o c k s e c   f r o m   ' "   +   l o g P a t h   +   " '   w h e r e   l o g i n f o   l i k e ' % l o c k s e c = % ' " ;                         L o g R e c o r d S e t   o R e c o r d S e t   =   o R e c o r d S e t   =   o L o g Q u e r y . E x e c u t e (   q u e r y ,                                                                                     o T s v I n p u t F o r m a t   ) ;                         i f   (   ! o R e c o r d S e t . a t E n d ( )   )                         {                                 d o u b l e   i t e m   =   0 ;                                 i f   (   ! o R e c o r d S e t . g e t R e c o r d ( ) . i s N u l l (   0   )   )                                 {                                         i t e m   =                                                 d o u b l e . P a r s e (   o R e c o r d S e t . g e t R e c o r d ( ) . g e t V a l u e (   0   ) . T o S t r i n g ( )   ) ;                                 }                                 a v g L o c k S e c   =   M a t h . R o u n d (   i t e m ,   2   ) ;                         }                         o R e c o r d S e t . c l o s e ( ) ;                 }                 c a t c h   (   E x c e p t i o n   e x   )                 {                         M e s s a g e B o x . S h o w (   e x . T o S t r i n g ( )   ) ;                 }                 r e t u r n ( a v g L o c k S e c ) ;         } }
N o t e : 假 如 资 源 消 耗 很 大 ， 极 有 可 能 被 植 入 挖 矿 程 序 。 6 > 开 放 端 口 分 析   建 议 关 闭   1 3 5 、 1 3 9 、 4 4 5 、 等 端 口 2   辅 助 分 析 辅 助 分 析 1 > 当 已 经 发 现   W e b s h e l l 、 远 控 木 马 的 创 建 时 间 2 > 然 后 搜 索 注 册 表 信 息 ， 通 过 注 册 表 信 息 获 取 注 册 表   键 值   创 建 时 间 和 同 时 创 建 的 文 件 3 > 结 合 文 件 创 建 的 时 间 、 注 册 表 键 值 创 建 时 间 找 出 的 新 文 件 时 间 。 整 合 分 析 系 统 日 志 ， 将 整 个 行 为 关 联 起 来 ， 进 行 精 确 取 证 4 > 利 用   V o l a t i l i t y   进 行 内 存 取 证 ， 分 析 入 侵 攻 击 痕 迹 ， 包 括 网 络 连 接 、 进 程 、 服 务 、 驱 动 模 块 、 D L L 、 h a n d l e s 、 检 测 进 程 注 入 、 检 测   M e t e r p r e t e r 、 c m d   历 史 命 令 、 I E   浏 览 器 历 史 记 录 、 启 动 项 、 用 户 、 s h i m c a c h e 、 u s e r a s s i s t 、 部 分   r o o t k i t   隐 藏 文 件 、 c m d l i n e r   等 。 5 > 列 出 了 当 前 活 动 的 登 录 会 话   ( 如 果 指 定 - p   选 项 ， 则 列 出 每 个 会 话 中 运 行 的 进 程 ) * 本 文 原 创 作 者 ： 星 光 1 1 1 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理