网站服务器取证案例,教你如何通过服务器日志进行入侵取证(转载)

转载自：网卫大学堂 http://www.wwdxt.com/

日志文件默认位置：

应用程序日志、安全日志、系统日志、DNS日志默认位置：%systemroot%/system32/config，

默认文件大小512KB，管理员都会改变这个默认大小。

安全日志文件：%systemroot%/system32/config/SecEvent.EVT

系统日志文件：%systemroot%/system32/config/SysEvent.EVT

应用程序日志文件：%systemroot%/system32/config/AppEvent.EVT

Internet信息服务FTP日志默认位置：%systemroot%/system32/logfiles/msftpsvc1/，默认每天一个日志

Internet信息服务WWW日志默认位置：%systemroot%/system32/logfiles/w3svc1/，默认每天一个日志

Scheduler服务日志默认位置：%systemroot%/schedlgu.txt

以上日志在注册表里的键：

应用程序日志，安全日志，系统日志，DNS服务器日志，它们这些LOG文件在注册表中的：

HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services/Eventlog

有的管理员很可能将这些日志重定位。其中EVENTLOG下面有很多的子表，里面可查到以上日志的定位目录。

Schedluler服务日志在注册表中

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/