Windows登录日志详解

最新推荐文章于 2025-03-11 22:36:33 发布

zhulinu

最新推荐文章于 2025-03-11 22:36:33 发布

阅读量10w+

点赞数 8

分类专栏：运维文章标签：赛克蓝德日志分析 SeciLog windows日志

本文链接：https://blog.csdn.net/zhulinu/article/details/52747984

版权

本文详细介绍了Windows系统的不同登录类型，包括交互式登录、网络登录、批处理、服务、解锁、远程交互和缓存交互等，并以Windows 2008为例，分析了成功和失败登录的日志，特别是ID4648、4624、4672和4625等关键事件。内容涵盖了登录过程、登录失败原因、网络信息和特殊权限等方面，旨在帮助理解并分析Windows登录日志。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、 Windows登录类型

Windows登录类型对应含义如下表：

类型ID	登录方式	描述信息
2	Interactive	A user logged on to this computer at the console
3	Network	A user or computer logged on to this computer from the network
4	Batch	Batch logon type is used by batch servers, where processes might run on behalf of a user without the user’s direct intervention
5	Service	A service was started by the Service Control Manager
7	Unlock	This workstation was unlocked
8	NetworkCleartext	A user logged on to a network and the user password was passed to the authentication package in its unhashed (plain text) form. It is possible that the unhashed password was passed across the network, for example, when IIS performed basic authentication
9	NewCredentials	A caller (process, thread, or program) cloned its current token and specified new credentials for outbound connections. The new logon session has the same local identity, but it uses different credentials for other network connections.
10	RemoteInteractive	A user logged on to this computer remotely using Terminal Services or a Remote Desktop connection.
11	CachedInteractive	A user logged on to this computer with network credentials that were stored locally on the computer. The domain controller was not contacted to verify the credentials

登录类型2：交互式登录（Interactive）：就是指用户在计算机的控制台上进行的登录，也就是在本地键盘上进行的登录。

登录类型3：网络（Network）：最常见的是访问网络共享文件夹或打印机。另外大多数情况下通过网络登录IIS时也被记为这种类型，但基本验证方式的IIS登录是个例外，它将被记为类型8。

登录类型4：批处理（Batch）：当Windows运行一个计划任务时，“计划任务服务”将为这个任务首先创建一个新的登录会话以便它能在此计划任务所配置的用户账户下运行，当这种登录出现时，Windows在日志中记为类型4，对于其它类型的工作任务系统，依赖于它的设计，也可以在开始工作时产生类型4的登录事件，类型4登录通常表明某计划任务启动，但也可能是一个恶意用户通过计划任务来猜测用户密码，这种尝试将产生一个类型4的登录失败事件，但是这种失败登录也可能是由于计划任务的用户密码没能同步更改造成的，比如用户密码更改了，而忘记了在计划任务中进行更改。

登录类型5：服务（Service）：与计划任务类似，每种服务都被配置在某个特定的用户账户下运行，当一个服务开始时，Windows首先为这个特定的用户创建一个登录会话，这将被记为类型5，失败的类型5通常表明用户的密码已变而这里没得到更新。

登录类型7：解锁（Unlock）：很多公司都有这样的安全设置：当用户离开屏幕一段时间后，屏保程序会锁定计算机屏幕。解开屏幕锁定需要键入用户名和密码。此时产生的日志类型就是Type 7。

登录类型8：网络明文（NetworkCleartext）：通常发生在IIS 的 ASP登录。不推荐。

登录类型9：新凭证（NewCredentials）：通常发生在RunAS方式运行某程序时的登录验证。

登录类型10：远程交互（RemoteInteractive）：通过终端服务、远程桌面或远程协助访问计算机时，Windows将记为类型10，以便与真正的控制台登录相区别，注意XP之前的版本不支持这种登录类型，比如Windows2000仍然会把终端服务登录记为类型2。

登录类型11：缓存交互（CachedInteractive） :在自己网络之外以域用户登录而无法登录域控制器时使用缓存登录。默认情况下，Windows缓存了最近10次交互式域登录的凭证HASH，如果以后当你以一个域用户登录而又没有域控制器可用时，Windows将使用这些HASH来验证你的身份。

本文由赛克蓝德(secisland)原创，转载请标明出处，感谢！