解析Windows ETL日志的利器：etl-parser

解析Windows ETL日志的利器：etl-parser

在数字取证和入侵调查（DFIR）领域，理解系统活动的关键常常隐藏在各种日志文件中。Windows操作系统的事件跟踪（ETW）日志以ETL格式存储，这种格式既强大又复杂，但文档稀少，给分析带来了挑战。然而，有了etl-parser这个纯Python库，处理ETL文件变得简单且高效。

项目介绍

etl-parser是一个针对Windows ETL日志的解析工具，适用于Python 3环境。它无需任何系统依赖，不论是在Windows还是Linux上都能顺畅工作。该项目源自Airbus CERT团队的努力，结合了Geoff Chappel的博客和其他逆向工程的研究成果，提供了解析多种常见日志格式的能力：

• ETWmanifest基础提供者
• TraceLogging
• MOF内核日志

项目技术分析

etl-parser通过两个脚本和一个可作为库使用的API，简化了ETL文件的处理。etl2xml将ETL事件转换为XML，方便进一步分析；而etl2pcap则将网络捕获数据转化为广泛认可的pcap格式。此外，它提供了一个观察者模式接口，允许开发者自定义事件处理逻辑，对不同类型的记录进行解码和解析。

应用场景

ETL日志在Windows系统编程中广泛应用，包括但不限于以下场景：

• 系统启动和关闭性能诊断：如BootPerfDiagLogger.etl和ShutdownPerfDiagLogger.etl
• 网络流量捕获：通过netsh命令
• 快照记录：如WDI目录下的snapshot.etl

对于DFIR分析师来说，etl-parser是提取这些金矿般信息的强大工具。

项目特点

• 跨平台：无论是在Windows还是Linux环境下，都能无缝工作。
• 无依赖：只需要Python环境，无需安装额外的库或组件。
• 全面解析：支持多种ETL日志格式，并持续更新，未来将添加更多解析器，如WPP。
• 灵活使用：既可以作为命令行工具，也可以集成到自定义的Python应用中。
• 易于扩展：开放源代码并接受社区贡献，如果有新的解析需求，只需创建问题或者提交PR。

安装与使用

etl-parser可通过pip轻松安装：

pip install etl-parser

或者直接从GitHub克隆仓库并本地安装：

git clone https://github.com/airbus-cert/etl-parser.git
cd etl-parser
pip install -e .

如果你在解析过程中遇到任何问题，记得前往Airbus CERT的GitHub仓库打开问题，一起参与进这个项目的发展中来。

总的来说，etl-parser是你探索Windows系统深度日志的不可或缺的伙伴。现在就加入这个开源项目，发掘那些藏在ETL日志中的宝贵信息吧！