windows日志的保護(hù)與偽造

日志對(duì)于系統(tǒng)安全（服務(wù)器租用找：51033397）的作用是顯而易見的，無論是網(wǎng)絡(luò)管理員還是黑客都非常重視日志，一個(gè)有經(jīng)驗(yàn)的管理員往往能夠迅速通過日志了解到系統(tǒng)的安全（服務(wù)器租用找：51033397）性能，而一個(gè)聰明的黑客往往會(huì)在入侵成功后迅速清除掉對(duì)自己不利的日志。下面我們就來討論一下日志的安全（服務(wù)器租用找：51033397）和創(chuàng)建問題。

一、概述：Windows2000的系統(tǒng)日志文件有應(yīng)用程序日志，安全（服務(wù)器租用找：51033397）日志、系統(tǒng)日志、DNS億恩科技服務(wù)器日志等等，應(yīng)用程序日志、安全（服務(wù)器租用找：51033397）日志、系統(tǒng)日志、DNS日志默認(rèn)位置：%systemroot%\system32\config，默認(rèn)文件大小512KB。

安全（服務(wù)器租用找：51033397）日志文件：%systemroot%\system32\config\SecEvent.EVT

系統(tǒng)日志文件：%systemroot%\system32\config\SysEvent.EVT

應(yīng)用程序日志文件：%systemroot%\system32\config\AppEvent.EVT

這些LOG文件在注冊(cè)表中的：

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog

有的管理員很可能將這些日志重定位。其中EVENTLOG下面有很多的子表，里面可查到以上日志的定位目錄。

二、作為網(wǎng)絡(luò)管理員

1、日志的安全（服務(wù)器租用找：51033397）配置

默認(rèn)的條件下，日志的大小為512KB大小，如果超出則會(huì)報(bào)錯(cuò)，并且不會(huì)再記錄任何日志。所以首要任務(wù)是更改默認(rèn)大小，具體方法：注冊(cè)表中HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog對(duì)應(yīng)的每個(gè)日志如系統(tǒng)，安全（服務(wù)器租用找：51033397），應(yīng)用程序等均有一個(gè)maxsize子鍵，修改即可。

下面給出一個(gè)來自微軟站點(diǎn)的一個(gè)腳本，利用VMI來設(shè)定日志最大25MB,并允許日志自行覆蓋14天前的日志：

該腳本利用的是WMI對(duì)象,WMI(WindowsManagementInstrumentation)技術(shù)是微軟提供的Windows下的系統(tǒng)管理工具。通過該工具可以在本地或者管理客戶端系統(tǒng)中幾乎一切的信息。很多專業(yè)的網(wǎng)絡(luò)管理工具都是基于WMI開發(fā)的。該工具在Win2000以及WinNT下是標(biāo)準(zhǔn)工具，在Win9X下是擴(kuò)展安裝選項(xiàng)。所以以下的代碼在2000以上均可運(yùn)行成功。

以下為引用的內(nèi)容： 　　strComputer="." 　　SetobjWMIService=GetObject("winmgmts:"_ 　　&"{impersonationLevel=impersonate,(Security)}!\\"&_ 　　strComputer&"\root\cimv2")'獲得VMI對(duì)象 　　SetcolLogFiles=objWMIService.ExecQuery_ 　　("Select*fromWin32_NTEventLogFile") 　　ForeachobjLogfileincolLogFiles 　　strLogFileName=objLogfile.Name 　　SetwmiSWbemObject=GetObject_ 　　("winmgmts:{impersonationLevel=Impersonate}!\\.\root\cimv2:"_ 　　&"Win32_NTEventlogFile.Name='"&strLogFileName&"'") 　　wmiSWbemObject.MaxFileSize=2500000000 　　wmiSWbemObject.OverwriteOutdated=14 　　wmiSWbemObject.Put_ 　　Next

將上述腳本用記事本存盤為vbs為后綴的即可使用。

另外需要說明的是代碼中的strComputer="."在windows腳本中的含義相當(dāng)于localhost,如果要在遠(yuǎn)程億恩科技主機(jī)上執(zhí)行代碼，只需要把"."改動(dòng)為億恩科技主機(jī)名，當(dāng)然首先得擁有對(duì)方億恩科技主機(jī)的管理員權(quán)限并建立IPC連接.本文中的代碼所出現(xiàn)的strComputer均可作如此改動(dòng)。

服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]