第五章 Windows 实战-evtx 文件分析

玄机

第五章、window实战 evtx
登陆成功 4624
第一题：
筛选

黑客登录成功ip
192.168.36.133

日志名称:          Security
来源:            Microsoft-Windows-Security-Auditing
日期:            2020/10/8 14:02:12
事件 ID:         4624

2、通过时间缩小范围，注意到登录成功后又登录了一次，用的是新用户名Adnimistartro

3.成功访问

事件id为4663，筛选
前面很多都不是关键路径

4.重启数据库，筛选的时候勾选mysql，mysqld，按时间排序
从下往上找process，第一个是错的，因为没有normal shutdown，不是人为重启的

5.重启了几次
在系统.evtx里面找1074//1074，通过这个事件ID查看计算机的开机、关机、重启的时间以及原因和
查找重新启动，有3个