|
通過分析第六行,可以看出2000年10月23日,IP地址為192.168.1.26的用戶通過訪問IP地址為192.168.1.37機(jī)器的80端口,查看了一個(gè)頁(yè)面iisstart.asp,這位用戶的瀏覽器為compatible;+MSIE+5.0;+Windows+98+DigExt,有經(jīng)驗(yàn)的管理員就可通過安全日志、FTP日志和WWW日志來確定入侵者的IP地址以及入侵時(shí)間。
既使你刪掉FTP和WWW日志,但是還是會(huì)在系統(tǒng)日志和安全日志里記錄下來,但是較好的是只顯示了你的機(jī)器名,并沒有你的IP。
屬性里記錄了出現(xiàn)警告的原因,是因?yàn)橛腥嗽噲D用administator用戶名登錄,出現(xiàn)一個(gè)錯(cuò)誤,來源是FTP服務(wù)。
這里有兩種圖標(biāo):鑰匙(表示成功)和鎖(表示當(dāng)用戶在做什么時(shí)被系統(tǒng)停止)。接連四個(gè)鎖圖標(biāo),表示四次失敗審核,事件類型是帳戶登錄和登錄、注銷失敗,日期為2000年10月18日,時(shí)間為1002,這就需要重點(diǎn)觀察。
雙點(diǎn)第一個(gè)失敗審核事件的,即得到此事件的詳細(xì)描述。
經(jīng)過分析我們可以得知有個(gè)CYZ的工作站,用administator用戶名登錄本機(jī),但是因?yàn)橛脩裘粗蛎艽a錯(cuò)誤(實(shí)際為密碼錯(cuò)誤)未能成功。另外還有DNS服務(wù)器日志,不太重要,就此略過(其實(shí)是我沒有看過它)。
知道了Windows2000日志的詳細(xì)情況,下面就要學(xué)會(huì)怎樣刪除這些日志:
通過上面,得知日志文件通常有某項(xiàng)服務(wù)在后臺(tái)保護(hù),除了系統(tǒng)日志、安全日志、應(yīng)用程序日志等等,它們的服務(wù)是Windos2000的關(guān)鍵進(jìn)程,而且與注冊(cè)表文件在一塊,當(dāng)Windows2000啟動(dòng)后,啟動(dòng)服務(wù)來保護(hù)這些文件,所以很難刪除,而FTP日志和WWW日志以及Scedlgu日志都是可以輕易地刪除的。首先要取得Admnistrator密碼或Administrators組成員之一,然后Telnet到遠(yuǎn)程主機(jī),先來試著刪除FTP日志:
D:\SERVER>del schedlgu.txt
D:\SERVER\SchedLgU.Txt
進(jìn)程無(wú)法訪問文件,因?yàn)榱硪粋(gè)程序正在使用此文件。說過了,后臺(tái)有服務(wù)保護(hù),先把服務(wù)停掉!
D:\SERVER>net stop "task scheduler"
下面的服務(wù)依賴于 Task Scheduler 服務(wù)。停止 Task Scheduler 服務(wù)也會(huì)停止這些服務(wù)。
Remote Storage Engine
是否繼續(xù)此操作? (Y/N) [N]: y
Remote Storage Engine 服務(wù)正在停止....
Remote Storage Engine 服務(wù)已成功停止。
Task Scheduler 服務(wù)正在停止.
Task Scheduler 服務(wù)已成功停止。
OK,它的服務(wù)停掉了,同時(shí)也停掉了與它有依賴關(guān)系的服務(wù)。再來試著刪一下!
D:\SERVER>del schedlgu.txt
D:\SERVER>
沒有反應(yīng)?成功了!下一個(gè)是FTP日志和WWW日志,原理都是一樣,先停掉相關(guān)服務(wù),然后再刪日志!
D:\SERVER\system32\LogFiles\MSFTPSVC1>del ex*.log
D:\SERVER\system32\LogFiles\MSFTPSVC1>
以上操作成功刪除FTP日志!再來WWW日志!
D:\SERVER\system32\LogFiles\W3SVC1>del ex*.log
D:\SERVER\system32\LogFiles\W3SVC1>
OK!恭喜,現(xiàn)在簡(jiǎn)單的日志都已成功刪除。下面就是很難的安全日志和系統(tǒng)日志了,守護(hù)這些日志的服務(wù)是Event Log,試著停掉它!
D:\SERVER\system32\LogFiles\W3SVC1>net stop eventlog
這項(xiàng)服務(wù)無(wú)法接受請(qǐng)求的 "暫停" 或 "停止" 操作。沒辦法,它是關(guān)鍵服務(wù)。如果不用第三方工具,在命令行上根本沒有刪除安全日志和系統(tǒng)日志的可能!所以還是得用雖然簡(jiǎn)單但是速度慢得死機(jī)的辦法:打開“控制面板”的“管理工具”中的“事件查看器”(98沒有,知道用Win2k的好處了吧),在菜單的“操作”項(xiàng)有一個(gè)名為“連接到另一臺(tái)計(jì)算機(jī)”的菜單,點(diǎn)擊它,輸入遠(yuǎn)程計(jì)算機(jī)的IP,然后等上數(shù)十分鐘,接著選擇遠(yuǎn)程計(jì)算機(jī)的安全性日志,右鍵選擇它的屬性:點(diǎn)擊屬性里的“清除日志”按鈕,OK!安全日志清除完畢!同樣的忍受痛苦去清除系統(tǒng)日志! 目前在不借助第三工具的情況下,能很快,很順利地清除FTP、 WWW還有Schedlgu日志,就是系統(tǒng)日志和安全日志屬于Windows2000的嚴(yán)密守護(hù),只能用本地的事件查看器來打開它,因?yàn)樵趫D形界面下,加之網(wǎng)速又慢,如果你銀子多,時(shí)間閑,還是可以清除它的。綜上所述,介紹了Windows2000的日志文件以及刪除方法,但是你必須是 Administrator,注意必須作為管理員或管理組的成員登錄才能打開安全日志記錄。該過程適用于 Windows 2000 Professional 計(jì)算機(jī),也適用于作為獨(dú)立服務(wù)器或成員服務(wù)器運(yùn)行的 Windows 2000 Server 計(jì)算機(jī)。
至此,Windows2000安全知識(shí)基礎(chǔ)講座完畢,還有幾句話要講,大家也看出來了,雖然FTP等等日志可以很快清除,但是系統(tǒng)日志和安全日志卻不是那么快、那么順利地能刪除,如果遇到聰明的管理員,將日志文件轉(zhuǎn)移到另一個(gè)地方,那更是難上加難,所以奉勸大家,千萬(wàn)不要拿國(guó)內(nèi)的主機(jī)做試驗(yàn),國(guó)內(nèi)的法律很嚴(yán)呀!今天吃飯時(shí),聽說有兩個(gè)人開玩笑,一個(gè)人把另外一個(gè)人的東西藏起來了,結(jié)果那個(gè)人一急,報(bào)案了,于是藏東西那個(gè)人被判四年刑!!法官說法律是不開玩笑的。。∷源蠹乙欢ㄒ斡涍@點(diǎn)!
本新聞共 2頁(yè),當(dāng)前在第 2頁(yè) 1 2 |
|
【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
|
|
|