搜索

[14876] 2019-11-29_Windows系统安全事件日志取证工具：LogonTracer

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2019-11-29_Windows系统安全事件日志取证工具：LogonTracer W i n d o w s 系 统 安 全 事 件 日 志 取 证 工 具 ： L o g o n T r a c e r y o n g s e c   F r e e B u f   2 0 1 9 - 1 1 - 2 9 一 、 前 言 一 、 前 言 最 近 在 做 着 一 些 日 志 分 析 的 活 ， 刚 好 看 到 最 近 在 做 着 一 些 日 志 分 析 的 活 ， 刚 好 看 到 L o g o n T r a c e r 这 款 工 具 ， 于 是 就 参 考 着 网 上 仅 有 的 文 章 去 搭 建 了 ， 搭 建 过 程 中 会 多 少 遇 到 一 些 问 题 ， 这 款 工 具 ， 于 是 就 参 考 着 网 上 仅 有 的 文 章 去 搭 建 了 ， 搭 建 过 程 中 会 多 少 遇 到 一 些 问 题 ， 也 就 顺 手 将 其 记 录 到 这 篇 文 章 中 了 ， 希 望 这 篇 文 章 能 帮 助 到 第 一 次 搭 建 这 款 工 具 的 小 伙 伴 。 也 就 顺 手 将 其 记 录 到 这 篇 文 章 中 了 ， 希 望 这 篇 文 章 能 帮 助 到 第 一 次 搭 建 这 款 工 具 的 小 伙 伴 。 L o g o n T r a c e r 这 款 工 具 是 基 于 P y t h o n 编 写 的 ， 并 使 用 N e o 4 j 作 为 其 数 据 库 （ N e o 4 j 多 用 于 图 形 数 据 库 ） ， 是 一 款 用 于 分 析 W i n d o w s 安 全 事 件 登 录 日 志 的 可 视 化 工 具 。 它 会 将 登 录 相 关 事 件 中 的 主 机 名 （ 或 I P 地 址 ） 和 帐 户 名 称 关 联 起 来 ， 并 将 其 以 图 形 化 的 方 式 展 现 出 来 ， 使 得 在 日 志 取 证 时 直 观 清 晰 。 二 、 二 、 D o c k e r 搭 建 搭 建 L o g o n T r a c e r 详 细 过 程 详 细 过 程 D o c k e r 安 装 过 程 就 略 过 了 。 接 下 来 将 详 细 介 绍 如 何 使 用 D o c k e r 搭 建 L o g o n T r a c e r ： 1 、 开 启 d o c k e r 服 务 2 、 拉 取 l o g o n t r a c e r 镜 像 3 、 运 行 镜 像 （ 其 中 L T H O S T N A M E 值 对 应 修 改 为 本 地 I P ） 4 、 连 接 N e o 4 j 数 据 库 默 认 账 号 n e o 4 j / n e o 4 j ， 接 着 要 求 修 改 密 码 ， 输 入 新 密 码 即 可 。 输 入 完 密 码 连 接 成 功 后 ， 在 如 下 图 的 输 入 框 中 输 入 如 下 命 令 ， 点 击 右 侧 的 按 钮 执 行 。 s e r v i c e   d o c k e r   s t a r t d o c k e r   p u l l   j p c e r t c c / d o c k e r - l o g o n t r a c e r d o c k e r   r u n   - - d e t a c h   - - p u b l i s h = 7 4 7 4 : 7 4 7 4   - - p u b l i s h = 7 6 8 7 : 7 6 8 7   - - p u b l i s h = 8 0 8 0 : 8 0 8 0   - e   L T H O S T N A M E = 1 9 2 . 1 6 8 . 5 9 . 1 2 8   j p c e r t c c / d o c k e r - l o g o n t r a c e r 浏 览 器 访 问 ： h t t p : / / [ 本 地 I P 地 址 ] : 7 4 7 4 M A T C H ( n ) O P T I O N A L   M A T C H   ( n ) - [ r ] - ( )
做 到 这 一 步 时 ， 可 能 会 遇 到 即 使 正 确 输 入 默 认 密 码 后 仍 一 直 提 示 账 号 密 码 错 误 ， 这 时 可 以 修 改 n e o 4 j . c o n f 配 置 文 件 ， 取 消 验 证 机 制 ， 该 文 件 在 c o n f 目 录 下 。 找 到 文 件 内 容 ： # d b m s . s e c u r i t y . a u t h _ e n a b l e d = f a l s e 将 前 面 的 # 号 去 掉 ， 修 改 为 d b m s . s e c u r i t y . a u t h _ e n a b l e d = f a l s e （ 重 启 镜 像 才 生 效 ， 当 前 可 以 暂 时 不 重 启 ， 因 为 下 面 还 有 需 要 重 启 的 地 方 ， 到 时 一 次 重 启 即 可 。 ） 5 、 访 问 L o g o n T r a c e r 界 面 此 时 ， 通 过 上 述 4 步 之 后 L o g o n T r a c e r 的 D o c k e r 环 境 已 经 搭 建 好 并 可 以 正 常 运 行 ， 但 是 ， 由 于 打 开 的 页 面 中 有 2 个 J S 文 件 调 用 的 是 远 程 网 址 ， 这 2 个 网 址 由 于 一 些 原 因 在 国 内 无 法 正 常 访 问 ， 所 以 ， 在 通 过 浏 览 器 访 问 首 页 后 ， 点 击 “ U p l o a d   E v e n t   L o g ” 按 钮 是 无 反 应 的 ， 那 就 无 法 上 传 日 志 文 件 ， 这 就 是 需 要 解 决 的 坑 。 O P T I O N A L   M A T C H   ( n ) - [ r ] - ( ) D E L E T E   n , r d o c k e r   e x e c   - i t   7 8 8 2 c 4 e 3 d a b 1   / b i n / s h           ( 其 中 7 8 8 2 c 4 e 3 d a b 1 为 容 器 I D 号 ， 通 过 d o c k e r   p s   - a 可 查 看 ） v i   c o n f / n e o 4 j . c o n f h t t p : / / [ 本 机 I P 地 址 ] : 8 0 8 0
解 决 这 个 坑 要 对 2 处 J S 进 行 修 改 ： 第 一 处 J S ： h t t p s : / / c d n . r a w g i t . c o m / n e o 4 j / n e o 4 j - j a v a s c r i p t - d r i v e r / 1 . 4 . 1 / l i b / b r o w s e r / n e o 4 j - w e b . m i n . j s 解 决 办 法 ： 直 接 修 改 系 统 的 h o s t s 文 件 ， 手 动 将 域 名 c d n . r a w g i t . c o m 解 析 到 1 5 1 . 1 3 9 . 2 3 7 . 1 1 上 ， 该 网 址 就 可 以 正 常 访 问 了 。 执 行 命 令 ： 第 二 处 J S ： h t t p s : / / a j a x . g o o g l e a p i s . c o m / a j a x / l i b s / j q u e r y / 3 . 2 . 1 / j q u e r y . m i n . j s 解 决 方 法 ： 进 入 D o c k e r 镜 像 编 辑 i n d e x . h t m l 模 板 文 件 。 执 行 命 令 ： 进 入 D o c k e r 镜 像 的 终 端 内 执 行 命 令 ， 编 辑 模 板 文 件 ： 找 到 h t t p s : / / a j a x . g o o g l e a p i s . c o m / a j a x / l i b s / j q u e r y / 3 . 2 . 1 / j q u e r y . m i n . j s v i m   / e t c / h o s t s 然 后 在 h o s t s 文 件 中 添 加 一 行 ： 1 5 1 . 1 3 9 . 2 3 7 . 1 1   c d n . r a w g i t . c o m d o c k e r   e x e c   - i t   7 8 8 2 c 4 e 3 d a b 1   / b i n / s h   ( 其 中 7 8 8 2 c 4 e 3 d a b 1 为 容 器 I D ) v i   / u s r / l o c a l / s r c / L o g o n T r a c e r / t e m p l a t e s / i n d e x . h t m l
将 该 网 址 的 改 为 h t t p s : / / a j a x . l o l i . n e t / a j a x / l i b s / j q u e r y / 3 . 2 . 1 / j q u e r y . m i n . j s 保 存 文 件 。 6 、 重 启 D o c k e r 镜 像 7 、 再 次 访 问 L o g o n T r a c e r 界 面 点 击 左 侧 的 “ U p l o a d E v e n t   L o g ” 上 传 保 存 在 本 机 的 e v t x 格 式 或 者 X M L 格 式 的 W i n d o w s 安 全 日 志 文 件 ， 点 击 “ B r o w s e ” 选 择 日 志 文 件 ， 然 后 点 击 “ U p l o a d ” ， 进 行 上 传 。 这 时 候 就 完 美 解 决 了 上 传 按 钮 点 不 了 的 问 题 了 。 这 样 就 已 经 成 功 运 行 并 使 用 L o g o n T r a c e r 对 日 志 文 件 进 行 分 析 了 。 d o c k e r   r e s t a r t   7 8 8 2 c 4 e 3 d a b 1   ( 其 中 7 8 8 2 c 4 e 3 d a b 1 为 容 器 I D ) h t t p : / / [ 本 地 I P 地 址 ] : 8 0 8 0
三 、 三 、 L o g o n T r a c e r 功 能 介 绍 功 能 介 绍 1 、 在 L o g o n T r a c e r 界 面 左 侧 ， 就 是 对 日 志 文 件 进 行 分 析 的 功 能 选 项 。 A l l   U s e r s ： 查 看 所 有 用 户 的 登 录 信 息 S Y S T E M   P r i v i l e g e s ： 查 看 管 理 员 账 号 的 登 录 信 息 （ 一 般 登 录 类 型 3 或 1 0 ） N T L M   R e m o t e   L o g o n ： 查 看 N T L M 远 程 登 录 信 息 （ 登 录 类 型 3 ） R D P   L o g o n ： 查 看 R D P 远 程 桌 面 登 录 信 息 （ 登 录 类 型 1 0 ） N e t w o r k   L o g o n ： 查 看 网 络 登 录 信 息 （ 登 录 类 型 3 ） B a t c h   L o g o n ： 查 看 批 处 理 登 录 信 息 （ 登 录 类 型 4 ） S e r v i c e   L o g o n ： 查 看 服 务 登 录 信 息 （ 登 录 类 型 5 ）
M s 1 4 - 0 6 8   E x p l o i t   F a i l u r e ： M S 1 4 - 0 6 8 漏 洞 利 用 失 败 信 息 L o g o n   F a i l u r e : 查 看 登 录 失 败 信 息 D e t e c t   D C s y n c / D C S h a d o w ： 查 看 删 除   D C s y n c / D C S h a d o w 信 息 A d d / D e t e c t   U s e r s ： 查 看 添 加 / 删 除 用 户 信 息 D o m a i n   C h e c k ： 域 检 查 信 息 A u d i t   P o l i c y   C h a n g e ： 查 看 审 计 策 略 变 更 信 息 2 、 在 界 面 右 侧 ， 显 示 着 用 户 名 及 其 重 要 性 等 级 。 对 于 此 排 名 ， L o g o n T r a c e r 会 对 事 件 日 志 图 执 行 网 络 分 析 ， 并 根 据 每 个 节 点 的 “ 中 心 性 ” 创 建 排 名 。 中 心 性 是 指 示 每 个 节 点 与 网 络 中 心 的 接 近 度 的 索 引 。 由 于 被 攻 击 帐 户 用 于 对 许 多 主 机 执 行 登 录 尝 试 ， 因 此 它 们 往 往 具 有 更 高 的 中 心 性 。 因 此 ， 通 过 比 较 中 心 性 ， 可 以 识 别 可 能 受 影 响 的 帐 户 / 主 机 。 对 于 每 个 节 点 ， 链 接 到 主 机 （ 绿 点 ） 并 带 有 一 行 账 户 信 息 （ 红 / 蓝 ） 表 示 已 使 用 主 机 登 陆 。 红 色 ： S Y S T E M 权 限 帐 户 蓝 色 ： 标 准 用 户 帐 户 绿 色 ： 主 机 /   I P 地 址 附 上 登 录 类 型 说 明 ：
3 、 日 志 筛 选 过 滤 器 在 界 面 顶 部 就 是 日 志 筛 选 过 滤 器 ， 可 以 根 据 用 户 名 、 主 机 名 和 I P 地 址 等 对 日 志 进 行 筛 选 。 也 可 以 过 滤 显 示 时 间 段 及 事 件 I D ， 事 件 出 现 的 次 数 。
4 、 C r e a t e   T i m e l i n e （ 创 建 时 间 轴 ） 按 时 间 顺 序 显 示 事 件 日 志 ， 以 用 户 名 及 时 间 轴 划 分 。 研 究 表 明 ， 监 控 以 下 事 件 对 于 调 查 未 经 授 权 的 登 录 是 有 效 的 。 基 于 此 ， L o g o n T r a c e r 还 可 以 显 示 以 下 事 件 I D 以 进 行 可 视 化 ： 附 登 录 事 件 I D 及 说 明 ： 由 于 并 非 所 有 上 述 事 件 I D 都 使 用 默 认 设 置 进 行 记 录 ， 因 此 需 要 启 用 审 核 策 略 以 保 留 此 类 日 志 ， 建 议 启 用 审 核 策 略 。 5 、 D i f f   G r a p h ( 差 异 扩 散 图 ) 选 择 要 比 较 额 2 个 不 同 的 时 间 日 期 ， 以 图 形 化 对 其 进 行 差 异 分 析 。
四 、 常 见 问 题 四 、 常 见 问 题 问 题 1 ： 使 用 d o c k e r 安 装 完 L o g o n T r a c e r 运 行 时 ， 界 面 一 直 处 于 加 载 状 态 。 现 象 如 下 图 ： （ 3 6 0 浏 览 器 运 行 ）   解 决 方 法 ： 不 妨 换 个 浏 览 器 试 试 ， 如 火 狐 或 谷 歌 浏 览 器 。 问 题 2 ： 在 使 用 d o c k e r 安 装 运 行 后 ， 访 问 L o g o n T r a c e r 界 面 时 上 传 的 日 志 文 件 成 功 后 ， 却 无 法 对 日 志 加 载 分 析 。 原 因 ： 如 果 是 上 传 文 件 按 钮 无 法 点 击 ， 原 因 是 上 面 安 装 过 程 中 提 到 的 J S 文 件 问 题 ， 按 照 上 面 安 装 过 程 的 解 决 方 法 即 可 。
如 果 是 上 传 的 E V T X 格 式 的 日 志 文 件 在 上 传 后 无 法 加 载 分 析 的 ， 现 象 如 下 图 ： 原 因 一 是 T i m e   Z o n e （ 时 区 ） 选 项 值 选 错 了 ， 中 国 的 U T C 为 + 8 ， 因 此 T i m e   Z o n e 下 拉 选 项 框 中 选 择 8 。 原 因 二 是 上 传 的 E V T X 日 志 文 件 的 问 题 ， 如 可 能 当 前 的 日 志 文 件 没 有 记 录 到 任 何 除 了 I P 为 1 2 7 . 0 . 0 . 1 的 其 他 I P 地 址 。 （ 下 图 为 L o g   P a r s e r   L i z a r d 的 分 析 截 图 ） 五 、 结 语 五 、 结 语 以 上 就 是 我 在 使 用 d o c k e r 搭 建 L o g o n T r a c e r 时 所 记 录 下 来 的 笔 记 ， 在 遇 到 问 题 2 时 一 直 以 为 是 搭 的 环 境 的 问 题 ， 折 腾 后 才 发 现 是 上 传 的 日 志 文 件 问 题 ， 导 致 一 直 无 法 进 行 加 载 分 析 ， 网 上 也 没 有 找 到 相 关 的 问 题 解 决 文 章 ， 因 此 想 通 过 记 录 一 下 这 个 过 程 来 帮 助 正 在 搭 建 或 将 要 搭 建 这 个 工 具 的 小 伙 伴 一 些 参 考 。 获 取 详 细 的 介 绍 、 安 装 使 用 说 明 以 及 相 关 软 件 ， 请 访 问 ： h t t p s : / / g i t h u b . c o m / J P C E R T C C / L o g o n T r a c e r * 本 文 作 者 ： 本 文 作 者 ： y o n g s e c ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理