搜索

[12901] 2018-07-03_闲聊Windows系统日志

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-07-03_闲聊Windows系统日志 闲 聊 W i n d o w s 系 统 日 志 原 创   T o m K i n g   F r e e B u f   2 0 1 8 - 0 7 - 0 3 *   本 文 作 者 ： 本 文 作 者 ： T o m K i n g ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 前 言 前 言 最 近 遇 到 不 少 应 急 都 提 出 一 个 需 求 ， 能 不 能 溯 源 啊 ？ 这 个 事 还 真 不 好 干 ， 你 把 证 据 ， 犯 案 时 间 都 确 定 的 时 候 ， 最 近 遇 到 不 少 应 急 都 提 出 一 个 需 求 ， 能 不 能 溯 源 啊 ？ 这 个 事 还 真 不 好 干 ， 你 把 证 据 ， 犯 案 时 间 都 确 定 的 时 候 ， 要 求 翻 看 监 控 要 求 翻 看 监 控 ( 日 志 日 志 ) 对 应 犯 罪 嫌 疑 人 时 ， 突 然 说 监 控 对 应 犯 罪 嫌 疑 人 时 ， 突 然 说 监 控 ( 日 志 日 志 ) 没 有 记 录 。 不 过 现 在 都 要 求 保 留 至 少 没 有 记 录 。 不 过 现 在 都 要 求 保 留 至 少 6 个 月 的 日 志 ， 因 个 月 的 日 志 ， 因 此 这 种 原 因 会 少 了 很 多 ， 然 而 我 对 于 此 这 种 原 因 会 少 了 很 多 ， 然 而 我 对 于 W i n d o w s 中 系 统 日 志 不 了 解 ， 在 解 读 时 经 常 摸 不 着 头 脑 ， 所 以 就 认 真 的 分 析 中 系 统 日 志 不 了 解 ， 在 解 读 时 经 常 摸 不 着 头 脑 ， 所 以 就 认 真 的 分 析 了 了 e v t x 格 式 的 系 统 日 志 。 这 篇 文 章 可 能 记 录 的 不 是 很 全 面 ， 师 傅 们 多 多 指 教 。 格 式 的 系 统 日 志 。 这 篇 文 章 可 能 记 录 的 不 是 很 全 面 ， 师 傅 们 多 多 指 教 。 W i n d o w s 系 统 日 志 简 介 系 统 日 志 简 介 W i n d o w s 操 作 系 统 在 其 运 行 的 生 命 周 期 中 会 记 录 其 大 量 的 日 志 信 息 ， 这 些 日 志 信 息 包 括 ： W i n d o w s 事 件 日 志 （ E v e n t L o g ） ， W i n d o w s 服 务 器 系 统 的 I I S 日 志 ， F T P 日 志 ， E x c h a n g e   S e r v e r 邮 件 服 务 ， M S   S Q L   S e r v e r 数 据 库 日 志 等 。 处 理 应 急 事 件 时 ， 客 户 提 出 需 要 为 其 提 供 溯 源 ， 这 些 日 志 信 息 在 取 证 和 溯 源 中 扮 演 着 重 要 的 角 色 。 W i n d o w s 事 件 日 志 文 件 实 际 上 是 以 特 定 的 数 据 结 构 的 方 式 存 储 内 容 ， 其 中 包 括 有 关 系 统 ， 安 全 ， 应 用 程 序 的 记 录 。 每 个 记 录 事 件 的 数 据 结 构 中 包 含 了 9 个 元 素 （ 可 以 理 解 成 数 据 库 中 的 字 段 ） ： 日 期 / 时 间 、 事 件 类 型 、 用 户 、 计 算 机 、 事 件 I D 、 来 源 、 类 别 、 描 述 、 数 据 等 信 息 。 应 急 响 应 工 程 师 可 以 根 据 日 志 取 证 ， 了 解 计 算 机 上 上 发 生 的 具 体 行 为 。 查 看 系 统 日 志 方 法 ， W i n d o w s 系 统 中 自 带 了 一 个 叫 做 事 件 查 看 器 的 工 具 ， 它 可 以 用 来 查 看 分 析 所 有 的 W i n d o w s 系 统 日 志 。 打 开 事 件 查 看 器 方 法 ： 开 始 - > 运 行 - > 输 入 e v e n t v w r - > 回 车 的 方 式 快 速 打 开 该 工 具 。 使 用 该 工 具 可 以 看 到 系 统 日 志 被 分 为 了 两 大 类 ： W i n d o w s 日 志 和 应 用 程 序 和 服 务 日 志 。 早 期 版 本 中 W i n d o w s 日 志 只 有 ， 应 用 程 序 ， 安 全 ， 系 统 和 S e t u p ， 新 的 版 本 中 增 加 了 设 置 及 转 发 事 件 日 志 （ 默 认 禁 用 ） 。 系 统 内 置 的 三 个 核 心 日 志 文 件 （ S y s t e m ， S e c u r i t y 和 A p p l i c a t i o n ） 默 认 大 小 均 为 2 0 4 8 0 K B （ 2 0 M B ） ， 记 录 事 件 数 据 超 过 2 0 M B 时 ， 默 认 系 统 将 优 先 覆 盖 过 期 的 日 志 记 录 。 其 它 应 用 程 序 及 服 务 日 志 默 认 最 大 为 1 0 2 4 K B ， 超 过 最 大 限 制 也 优 先 覆 盖 过 期 的 日 志 记 录 。 W i n d o w s 事 件 日 志 中 共 有 五 种 事 件 类 型 ， 所 有 的 事 件 必 须 拥 有 五 种 事 件 类 型 中 的 一 种 ， 且 只 可 以 有 一 种 。 五 种 事 件 类 型 分 为 ：
1 .   信 息 （ I n f o r m a t i o n ） 信 息 事 件 指 应 用 程 序 、 驱 动 程 序 或 服 务 的 成 功 操 作 的 事 件 。 1 .   警 告 （ W a r n i n g ） 警 告 事 件 指 不 是 直 接 的 、 主 要 的 ， 但 是 会 导 致 将 来 问 题 发 生 的 问 题 。 例 如 ， 当 磁 盘 空 间 不 足 或 未 找 到 打 印 机 时 ， 都 会 记 录 一 个 “ 警 告 ” 事 件 。 1 .   错 误 （ E r r o r ） 错 误 事 件 指 用 户 应 该 知 道 的 重 要 的 问 题 。 错 误 事 件 通 常 指 功 能 和 数 据 的 丢 失 。 例 如 , 如 果 一 个 服 务 不 能 作 为 系 统 引 导 被 加 载 ， 那 么 它 会 产 生 一 个 错 误 事 件 。 1 .   成 功 审 核 （ S u c c e s s   a u d i t ） 成 功 的 审 核 安 全 访 问 尝 试 ， 主 要 是 指 安 全 性 日 志 ， 这 里 记 录 着 用 户 登 录 / 注 销 、 对 象 访 问 、 特 权 使 用 、 账 户 管 理 、 策 略 更 改 、 详 细 跟 踪 、 目 录 服 务 访 问 、 账 户 登 录 等 事 件 ， 例 如 所 有 的 成 功 登 录 系 统 都 会 被 记 录 为 “   成 功 审 核 ” 事 件 。 1 .   失 败 审 核 （ F a i l u r e   a u d i t ） 失 败 的 审 核 安 全 登 录 尝 试 ， 例 如 用 户 试 图 访 问 网 络 驱 动 器 失 败 ， 则 该 尝 试 会 被 作 为 失 败 审 核 事 件 记 录 下 来 。 事 件 日 志 文 件 存 储 位 置 （ V i s t a / W i n 7 / W i n 8 / W i n 1 0 / S e r v e r 2 0 0 8 / S e r v e r   2 0 1 2 及 之 后 的 版 本 ） 类 型 类 型 事 件 类 型 事 件 类 型 描 述 描 述 文 件 名 文 件 名 W i n d o w s 日 志 系 统 包 含 系 统 进 程 ， 设 备 磁 盘 活 动 等 。 事 件 记 录 了 设 备 驱 动 无 法 正 常 启 动 或 停 止 ， 硬 件 失 败 ， 重 复 I P 地 址 ， 系 统 进 程 的 启 动 ， 停 止 及 暂 停 等 行 为 。 S y s t e m . e v t x 安 全 包 含 安 全 性 相 关 的 事 件 ， 如 用 户 权 限 变 更 ， 登 录 及 注 销 ， 文 件 及 文 件 夹 访 问 ， 打 印 等 信 息 。 S e c u r i t y . e v t x 应 用 程 序 包 含 操 作 系 统 安 装 的 应 用 程 序 软 件 相 关 的 事 件 。 事 件 包 括 了 错 误 、 警 告 及 任 何 应 用 程 序 需 要 报 告 的 信 息 ， 应 用 程 序 开 发 人 员 可 以 决 定 记 录 哪 些 信 息 。 A p p l i c a t i o n . e v t x 应 用 程 序 及 服 务 日 志 M i c r o s o f t M i c r o s o f t 文 件 夹 下 包 含 了 2 0 0 多 个 微 软 内 置 的 事 件 日 志 分 类 ， 只 有 部 分 类 型 默 认 启 用 记 录 功 能 ， 如 远 程 桌 面 客 户 端 连 接 、 无 线 网 络 、 有 线 网 路 、 设 备 安 装 等 相 关 日 志 。 详 见 日 志 存 储 目 录 对 应 文 件 M i c r o s o f t   O f f i c e A l e r t s 微 软 O f f i c e 应 用 程 序 （ 包 括 W o r d / E x c e l / P o w e r P o i n t 等 ） 的 各 种 警 告 信 息 ， 其 中 包 含 用 户 对 文 档 操 作 过 程 中 出 现 的 各 种 行 为 ， 记 录 有 文 件 名 、 路 径 等 信 息 。 O A e r t s . e v t x W i n d o w s   P o w e r S h e l l W i n d o w s 自 带 的 P o w e r S h e l l 应 用 的 日 志 信 息 。 W i n d o w s   P o w e r S h e l l . e v t x I n t e r n e t   E x p l o r e r I E 浏 览 器 应 用 程 序 的 日 志 信 息 ， 默 认 未 启 用 ， 需 要 通 过 组 策 略 进 行 配 置 。 I n t e r n e t   E x p l o r e r . e v t x 表 1   事 件 日 志 存 储 位 置 提 示 ： % S y s t e m R o o t % 为 系 统 环 境 变 量 ， 默 认 值 为 C : W I N D O W S 。
图   E V T X 事 件 日 志 文 件 使 用 事 件 查 看 器 工 具 可 以 将 这 些 E V T X 事 件 日 志 文 件 导 出 为 e v t x ， x m l ， t x t 和 c s v 格 式 的 文 件 。 常 见 的 常 见 的 W i n d o w s 事 件 的 分 析 方 法 事 件 的 分 析 方 法 W i n d o w s 事 件 日 志 中 记 录 的 信 息 中 ， 关 键 的 要 素 包 含 事 件 级 别 、 记 录 时 间 、 事 件 来 源 、 事 件 I D 、 事 件 描 述 、 涉 及 的 用 户 、 计 算 机 、 操 作 代 码 及 任 务 类 别 等 。 其 中 事 件 的 I D 与 操 作 系 统 的 版 本 有 关 ， 以 下 列 举 出 的 事 件 I D 的 操 纵 系 统 为 V i s t a / W i n 7 / W i n 8 / W i n 1 0 / S e r v e r 2 0 0 8 / S e r v e r   2 0 1 2 及 之 后 的 版 本 ： 事 件 事 件 I D 说 明 说 明 1 1 0 2     清 理 审 计 日 志 4 6 2 4 账 号 成 功 登 录 4 6 2 5 账 号 登 录 失 败 4 7 6 8 K e r b e r o s 身 份 验 证 （ T G T 请 求 ） 4 7 6 9 K e r b e r o s 服 务 票 证 请 求 4 7 7 6 N T L M 身 份 验 证 4 6 7 2 授 予 特 殊 权 限 4 7 2 0 创 建 用 户 4 7 2 6 删 除 用 户 4 7 2 8 将 成 员 添 加 到 启 用 安 全 的 全 局 组 中 4 7 2 9 将 成 员 从 安 全 的 全 局 组 中 移 除 4 7 3 2 将 成 员 添 加 到 启 用 安 全 的 本 地 组 中 4 7 3 3 将 成 员 从 启 用 安 全 的 本 地 组 中 移 除 4 7 5 6 将 成 员 添 加 到 启 用 安 全 的 通 用 组 中 4 7 5 7 将 成 员 从 启 用 安 全 的 通 用 组 中 移 除 4 7 1 9 系 统 审 计 策 略 修 改 表   常 见 W i n d o w s 账 户 及 相 关 s h i j a i n   对 照 表 五 种 事 件 类 型 中 ， 最 为 重 要 的 是 成 功 审 核 （ S u c c e s s   A u d i t ） ， 所 有 系 统 登 录 成 功 都 会 被 标 记 成 为 成 功 审 核 。 每 个 成 功 登 录 的 事 件 都 会 标 记 一 个 登 录 类 型 ： 登 录 类 型 登 录 类 型 描 述 描 述
2 交 互 式 登 录 （ 用 户 从 控 制 台 登 录 ） 3 网 络 （ 例 如 ： 通 过 n e t   u s e , 访 问 共 享 网 络 ） 4 批 处 理 （ 为 批 处 理 程 序 保 留 ） 5 服 务 启 动 （ 服 务 登 录 ） 6 不 支 持 7 解 锁 （ 带 密 码 保 护 的 屏 幕 保 护 程 序 的 无 人 值 班 工 作 站 ） 8 网 络 明 文 （ I I S 服 务 器 登 录 验 证 ） 1 0 远 程 交 互 （ 终 端 服 务 ， 远 程 桌 面 ， 远 程 辅 助 ） 1 1 缓 存 域 证 书 登 录 登 录 类 型 登 录 类 型 描 述 描 述 表   登 录 类 型 W i n d o w s   X M L   事 件 日 志 格 式 事 件 日 志 格 式 系 统 事 件 日 志 主 要 保 存 的 类 型 为 ： . e v t x ， . x m l ， . t x t ， . c s v 。 对 于 后 三 种 文 件 格 式 已 经 比 较 了 解 ， 现 在 分 析 下 e v t x 后 缀 额 格 式 。 事 件 日 志 （ e v t x ） 文 件 是 一 种 二 进 制 格 式 的 文 件 。 图   e v t x 文 件 类 型 文 件 头 部 签 名 为 十 六 进 制 4 5   6 C   6 6   4 6   6 9   6 C   6 5   0 0 （ E l f F i l e x 0 0 ） 。 E v t x 文 件 结 构 包 含 三 部 分 ： 文 件 头 ， 数 据 块 ， 结 尾 空 值 。 文 件 头 由 4 0 9 6 字 节 大 小 组 成 ， 具 体 的 结 构 如 下 表 ： 偏 移 偏 移 长 度 长 度 值 值 描 述 描 述 0 8 “ E l F i l e x 0 0 ” 签 名 8 8 第 一 个 数 据 块 1 6 8 最 后 一 个 数 据 块 2 4 8 下 一 个 记 录 标 识 符 3 2 4 1 2 8 头 的 大 小 3 6 2 1 次 版 本 号 3 8 2 3 主 版 本 号 4 0 2 4 0 9 6 数 据 块 偏 移 量 4 2 2 数 据 块 的 数 量 4 4 7 6 空 值 1 2 0 4 文 件 标 志 1 2 4 4 校 验 和 1 2 8 3 9 6 8 空 值 表   F i l e   H e a d e r 内 容 W i n d o w s   X M L   事 件 日 志 大 小 事 件 日 志 文 件 大 小   =   ( 数 据 块 的 数 量 * 6 5 5 3 6 ) + 4 0 9 6 。 文 件 头 偏 移 量 为 1 2 0 的 数 据 值 为 文 件 标 志 ， 该 部 分 的 组 成 如 下 表 ： 值 值 标 识 符 标 识 符 描 述 描 述
0 x 0 0 0 1 已 更 新 0 x 0 0 0 2 已 填 充 值 值 标 识 符 标 识 符 描 述 描 述 图   F i l e   H e a d e r 文 件 格 式 每 个 数 据 块 大 小 为 6 5 5 3 6 字 节 ， 数 据 块 的 头 部 标 签 名 为 4 5   6 C   6 6   4 3   6 8   6 E   6 B   0 0 ( E l f C h n k x 0 0 ) ， 数 据 块 由 数 据 块 头 部 ， 事 件 记 录 ， 闲 置 空 间 ， 数 据 块 文 件 头 由 5 1 2 字 节 大 小 组 成 ， 具 体 结 构 如 下 表 ： 偏 移 偏 移 长 度 长 度 值 值 描 述 描 述 0 8 “ E l f C h n k x 0 0 ” 签 名 8 8 第 一 个 事 件 记 录 编 号 1 6 8 最 后 一 个 事 件 记 录 编 号 2 4 8 第 一 个 事 件 记 录 标 识 符 3 2 8 最 后 一 个 事 件 记 录 标 识 符 4 0 4 1 2 8 指 针 数 据 偏 移 量 4 4 4 最 后 一 个 事 件 记 录 数 据 偏 移 量 4 8 4 自 由 空 间 偏 移 5 2 4 事 件 记 录 校 验 和 5 6 6 4 空 值 1 2 0 4 未 知 1 2 4 4 校 验 和
偏 移 偏 移 长 度 长 度 值 值 描 述 描 述 表   C h u n k   h e a d e r 图   C h u n k   H e a d e r 文 件 格 式 数 据 块 包 含 多 个 事 件 记 录 ， 一 个 事 件 记 录 对 应 一 条 日 志 信 息 。 事 件 记 录 的 的 大 小 及 组 成 如 下 表 ： 偏 移 量 偏 移 量 长 度 长 度 值 值 描 述 描 述 0 4 “ * * x 0 0 x 0 0 ” 签 名 4 4 事 件 记 录 块 的 大 小 8 8 事 件 记 录 标 识 符 1 6 8 事 件 记 录 写 入 时 间 2 4 … 事 件 记 录 内 容 … 4 尺 寸 拷 贝 表   E v e n t   R e c o r d W i n d o w s 事 件 日 志 取 证 分 析 注 意 要 点 事 件 日 志 取 证 分 析 注 意 要 点 W i n d w o s 操 作 系 统 默 认 没 有 提 供 删 除 特 定 日 志 记 录 的 功 能 ， 仅 提 供 了 删 除 所 有 日 志 的 操 作 功 能 。 也 就 意 味 着 日 志 记 录 I D （ E v e n t   R e c o r d   I D ） 应 该 是 连 续 的 ， 默 认 的 排 序 方 式 应 该 是 从 大 到 小 往 下 排 列 。 通 过 对 W i n d o w s 事 件 日 志 的 取 证 分 析 ， 取 证 人 员 可 以 对 操 纵 系 统 、 应 用 程 序 、 服 务 、 设 备 等 操 作 行 为 记 录 ， 通 过 关 键 的 时 间 点 进 行 回 溯 。
事 件 查 看 器 单 条 日 志 记 录 删 除 思 路 事 件 查 看 器 单 条 日 志 记 录 删 除 思 路 分 析 事 件 记 录 格 式 后 ， 了 解 到 W i n d o w s 系 统 在 解 析 事 件 记 录 日 志 时 ， 按 照 E v e n t   R e c o r d 的 大 小 逐 条 读 取 日 志 的 内 容 。 假 设 修 改 某 条 日 志 的 长 度 ， 使 长 度 覆 盖 下 一 条 日 志 ， 理 论 上 W i n d o w s 系 统 解 析 日 志 时 ， 就 会 跳 过 下 一 条 日 志 ， 相 当 于 下 一 条 日 志 被 ” 删 除 ” 。   D a n d e r S p r i t z 中 的 e v e n t l o g e d i t   就 是 这 个 思 路 ， 仅 仅 时 修 改 了 程 度 ， 实 际 上 并 没 有 删 除 日 志 内 容 。 实 现 思 路 如 下 图 ： 图   删 除 事 件 记 录 思 路 为 了 确 保 修 改 后 的 日 志 文 件 能 够 被 正 确 识 别 ， 还 需 要 修 改 多 个 标 志 位 和 重 新 计 算 校 验 和 。 图   不 正 确 修 改 事 件 日 志 为 了 确 保 不 出 现 如 上 图 所 示 的 错 误 ， 总 结 一 下 删 除 单 条 日 志 内 容 的 方 法 ： 1 .   F i l e   H e a d e r 中 的 N e x t   r e c o r d i d e n t i f i e r 的 值 减 一 （ 偏 移 量 为 2 4 字 节 ） 2 .   重 新 计 算 F i l e   H e a d e r 中 C h e c k S u m （ 偏 移 量 为 1 2 4 字 节 ） 3 .   修 改 E v e n t   R e c o r d ， 找 到 需 删 除 的 记 录 和 需 删 除 前 一 条 记 录 并 计 算 日 志 的 长 度 ， 更 新 E v e n t   R e c o r d 的 E v e n t   r e c o r d   i d e n t i f i e r 4 .   更 新 E l f C h n k ， 需 要 修 改 的 内 容 为 ： L a s t   e v e n t   r e c o r d   n u m b e r ， L a s t   e v e n t   r e c o r d i d e n t i f i e r ， L a s t e v e n t   r e c o r d   d a t a   o f f s e t ， E v e n t   r e c o r d s c h e c k s u m ， C h e c k s u m 根 据 以 上 的 方 式 进 行 删 除 单 条 日 志 是 N A S 方 程 式 组 织 的 D a n d e r S p r i t z 中 的 e v e n t l o g e d i t 实 现 方 式 。 实 际 上 只 是 将 信 息 进 行 了 隐 藏 ， 在 此 基 础 上 ， 将 指 定 日 志 的 内 容 清 空 ， 就 能 够 实 现 真 正 的 日 志 删 除 。
单 条 日 志 删 除 单 条 日 志 删 除 准 备 ： 测 试 文 件 （ t e s t . e v t x — 系 统 中 的 S e t u p . e v t x ） ， W i n h e x ， p y t h o n 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / B y P u p i l / d e l e t e - w i n d o w s - l o g 该 文 件 中 包 含 了 8 条 日 志 ， 下 面 演 示 删 除 第 8 条 记 录 的 实 践 过 程 。 使 用 事 件 查 看 器 打 开 确 认 最 后 一 条 事 件 的 E v e n t R e c o r d I D ， 该 实 验 中 的 值 为 8 。 图   t e s t . e v t x 文 件 1 .   F i l e   H e a d e r 中 的 N e x t   r e c o r d i d e n t i f i e r 的 值 减 一 F i l e   H e a d e r 是 整 个 文 件 最 开 始 的 部 分 ， N e x t r e c o r d   i d e n t i f i e r 的 偏 移 量 为 2 4 ( 0 x 1 8 ) ， 其 长 度 为 8 字 节 。 实 验 文 件 t e s t . e v t x 内 容 如 下 ： 图   t e s t . e v t x 文 件 内 容 N e x t   r e c o r d   i d e n t i f i e r 的 值 为 0 x 0 9 。 将 该 值 减 一 0 x 0 8   写 入 。 这 儿 需 要 提 一 下 的 是 ， 该 文 件 的 字 节 序 为 小 端 ， 因 此 低 位 会 在 前 面 。 1 .   重 新 计 算 F i l e   H e a d e r 中 C h e c k S u m
计 算 方 法 ： 前 1 2 0 字 节 做 C R C 3 2 运 算 ， 偏 移 量 为 1 2 4 ( 0 x 7 c ) ， 长 度 为 4 。 修 改 后 的 文 件 内 容 如 下 图 ： 图   修 改 后 的 t e s t . e v t x 现 在 提 取 前 1 2 0 字 节 的 内 容 ： 使 用 p y t h o n 中 b i n a s c i i 模 块 计 算 C R C 3 2 。 代 码 如 下 ： 图   计 算 C R C 3 2 代 码 输 出 的 结 果 为 ： 0 x f b 0 2 7 4 8 0 ， 修 改 文 件 内 容 ， 修 改 后 如 下 图 ： 图   修 改 c h e c k s u m 1 .   修 改 E v e n t   R e c o r d 通 过 f i n d   h e x   v a l u e s 查 找 2 A 2 A 0 0 0 0 ， 定 位 到 第 8 条 E v e n t   R e c o r d 。 该 条 E v e n t   R e c o r d 的 长 度 为   0 x 1 8 0 。 如 下 图 ： 4 5 6 C 6 6 4 6 6 9 6 C 6 5 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 8 0 0 0 0 0 0 0 0 0 0 0 0 0 0 8 0 0 0 0 0 0 0 0 1 0 0 0 3 0 0 0 0 1 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
图   第 8 条 E v e n t R e c o r d 第 7 条 E v e n t   R e c o r d 的 长 度 为 0 x 1 7 0 。 如 下 图 ： 图   第 7 条 E v e n t R e c o r d 计 算 需 要 修 改 的 内 容 长 度 。 新 长 度 为 0 x 1 7 0 + 0 x 1 8 0 = 0 x 2 f 0 。 由 于 是 删 除 最 后 一 条 记 录 ， 所 以 不 需 要 更 新 E v e n t   r e c o r d i d e n t i f i e r 。 修 改 长 度 的 位 置 有 两 个 ， 分 别 为 第 7 条 日 志 的 长 度 和 第   8 条 日 志 的 最 尾 部 。 图   第 7 条 日 志
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理