Windows实战-evtx文件分析——玄机靶场

最新推荐文章于 2025-04-02 23:35:12 发布

44漏洞观察员

最新推荐文章于 2025-04-02 23:35:12 发布

阅读量1.6k

点赞数 21

分类专栏：应急响应 Windows 文章标签： web安全网络安全 windows 运维安全威胁分析

本文链接：https://blog.csdn.net/weixin_47472573/article/details/143982911

版权

应急响应同时被 2 个专栏收录

14 篇文章

订阅专栏

Windows

5 篇文章

订阅专栏

日志文件.zip

.evtx文件是Windows事件日志文件，它们存储由Windows操作系统和应用程序生成的事件日志。这些日志文件以二进制格式保存，包含关于系统、应用程序和安全事件的信息。

常见的 .evtx 文件

Application.evtx：记录应用程序相关的事件日志。
System.evtx：记录系统级别的事件日志。
Security.evtx：记录安全事件和审计日志。
Setup.evtx：记录与系统安装和升级相关的事件日志。
ForwardedEvents.evtx：用于记录从其他系统转发的事件日志。

使用 .evtx 文件的工具

Event Viewer (事件查看器)：Windows 内置的事件查看器工具允许用户查看、分析和导出 .evtx 文件中的事件日志。可以通过运行 eventvwr.msc 命令打开事件查看器。
第三方工具：有许多第三方工具可以用来分析 .evtx 文件，例如FullEventLogView。

将黑客成功登录系统所使用的IP地址作为Flag值提交；

自带软件分析

双击打开安全日志，筛选事件ID4624。

点击时间排序，然后逐个查看找到可疑ip。

flag{192.168.36.133}

FullEventLogView分析

打开文件后需要设置显示所有时间，并设置事件id。

显示的信息要更加友好一点。

黑客成功登录系统后修改了登录用户的用户名，将修改后的用户名作为Flag值提交；

自带软件分析

筛选事件ID4738，它是用于创建、删除、修改等，是专门用于记录用户账户被修改的事件，包括但不限于用户名的修改。

在此事件中：

TargetUserName和SamAccountName字段均为Adnimistartro，这表明被修改的用户名是Adnimistartro。

SubjectUserName是执行此操作的用户，表示为WIN-B1B1T3K57G9$，这通常表示系统级账户或计算机账户。

因此，可以确定：被修改的用户名是 Adnimistartro。

在此情况下，事件日志中显示的TargetUserName和SamAccountName字段都指向同一个用户名Adnimistartro，这表明这是被修改的账户的用户名。

flag{Adnimistartro}

FullEventLogView分析

可以通过搜索描述中的关键字进行筛选。

黑客成功登录系统后成功访问了一个关键位置的文件，将该文件名称（文件名称不包含后缀）作为Flag值提交；

自带软件分析

筛选事件ID4663，它是Windows事件日志中用来记录对象访问尝试的安全审计事件，特别是文件和目录的访问尝试。

C:\Windows\System32\SMI\Store\Machine\SCHEMA.DAT是Windows系统中一个重要的配置文件路径，通常普通用户或正常应用程序不会频繁访问该文件。

flag{SCHEMA}

FullEventLogView分析

可以通过搜索描述中的关键字（试图访问）进行筛选。

从访问的进程名可以看到是使用文本进行访问的，更加可疑。

黑客成功登录系统后重启过几次数据库服务，将最后一次重启数据库服务后数据库服务的进程ID号作为Flag值提交；

这里应该找到应用程序日志进行分析。

自带软件分析

查看记录有mysql服务，直接筛选来源为mysql，或者筛选事件id100，通常用于记录应用程序的启动信息。

经过时间排序后逐一查看分析，找到最后一次重启的进程id为1052，但是提交不对，最后是8820。

flag{8820}

FullEventLogView分析

通过关键字搜索，可以统计一共重启了9次

黑客成功登录系统后修改了登录用户的用户名并对系统执行了多次重启操作，将黑客使用修改后的用户重启系统的次数作为Flag值提交。

系统日志记录操作系统组件、驱动程序和重要服务的事件，帮助监控系统状态和排除故障。这些日志包括系统启动、关闭与重启的信息以及服务的启动和停止。用户信息修改也会生成安全相关事件，记录在安全日志中（如事件ID 4738）。在Windows系统中，特定事件ID指示系统状态，例如事件ID 6005表示系统启动，事件ID 6006表示系统关闭。