Windows日志分析工具Log Parser使用指南
Windows 11 是微软全新操作系统，现代化界面，流畅操作体验，适用于学习、工作与日常生活。它更偏向把系统状态查看和常用调节动作放在一起，适合需要持续观察和微调设备状态的场景。
大家好，我是你们的老朋友全栈君。我们又见面了！今天，我们将探讨Windows事件日志分析工具LogParser的使用指南。让我们一起来学习如何利用LogParser来分析Windows事件日志，了解不同事件ID的含义以及常见的使用场景。0x01基本设置事件ID及常见场景在进行Windows事件日志分析时，不同的事件ID有着不同的意义。以下是一些常见的安全事件及其说明：4624-登录成功4625-登录失败4634-注销成功4647-用户启动的注销4672-使用超级用户（如管理员）进行
大家好，我是你们的老朋友全栈君。我们又见面了！
今天，我们将探讨Windows事件日志分析工具LogParser的使用指南。让我们一起来学习如何利用LogParser来分析Windows事件日志，了解不同事件ID的含义以及常见的使用场景。
0x01 基本设置 事件ID及常见场景
在进行Windows事件日志分析时，不同的事件ID有着不同的意义。以下是一些常见的安全事件及其说明：
- 4624 - 登录成功
- 4625 - 登录失败
- 4634 - 注销成功
- 4647 - 用户启动的注销
- 4672 - 使用超级用户（如管理员）进行登录
- 1074 - 通过此事件ID查看计算机的开机、关机、重启的时间以及原因和注释
- 6005 - 表示计算机日志服务已启动，若出现此事件ID，则表示当天系统正常启动
- 104 - 记录所有审计日志清除事件，当有日志被清除时出现此事件ID
- 4624 - 表示成功登陆的用户，用来筛选系统的用户登陆成功情况
- 4625 - 表示登陆失败的用户
- 4720, 4722, 4723, 4724, 4725, 4726, 4738, 4740 - 当用户账号发生创建、删除、改变密码时的事件记录
- 4727, 4737, 4739, 4762 - 当用户组发生添加、删除或组内添加成员时生成的事件
示例：
管理员登录
当使用mstsc远程登录某个主机，并且使用的是管理员账号时，成功的情况下会产生ID为4776、4648、4624、4672的事件。
执行系统命令
通过Win+R打开运行窗口，输入“CMD”，然后运行“ipconfig”，产生的日志过程如下：
- 进程创建 C:\Windows\System32\cmd.exe
- 进程创建 C:\Windows\System32\ipconfig.exe
- 进程终止 C:\Windows\System32\ipconfig.exe
入侵提权过程中的日志
在入侵提权过程中，常使用以下两条语句，这些语句会生成如下日志：
net user USER PASSWORD /add net localgroup administrators USER /add
0x02 日志分析工具
2.1 Log Parser 2.2 下载地址
Log Parser的下载地址为：https://www.microsoft.com/en-us/download/details.aspx?id=24659
Log Parser允许通过SQL查询日志。
2.1.1 SQL字段
S：String 数组
调用格式：
EXTRACT_TOKEN(EventTypeName, 0, ' ')
- EventTypeName：字段名
- 0：顺序，从0开始
- ' '：分隔符
T：Time。时间类
I：integer。整数类
T和I二者都是直接调用：
SELECT TO_DATE(TimeGenerated), TO_UPPERCASE(EXTRACT_TOKEN(EventTypeName, 0, ' ')), SourceName FROM SystemTimeGenerated
2.1.2 字段解释
RecordNumber：日志记录编号，从0开始
TimeGenerated：事件生成时间
TimeWritten：事件记录时间
EventID：事件ID
EventType：事件类型
参考：Windows Logon Type的含义
EventCategory：未知，参考Windows API ReportEvent 写系统日志
String：
各个位置含义：
0安全IP（SID） 1账号名称 2账户域 3登录ID 4安全ID 5账户名 6账户域 7登录ID 8登录类型 9登录进程 10身份验证数据包 11网络账户名称 12账号GUID 13网络账户域 14数据包名 15密钥长度 16进程ID 17进程路径 18源网络地址 19源端口 20模拟级别 21 22 23 24 虚拟账户 25 26 提升的令牌
EventLog：
各个位置含义：
0 文件绝对路径
EventTypeName：
各个位置含义：
0 审核成功/审核失败
SourceName：来源
各个位置含义：
0：来源位置eg：Microsoft-Windows-Security-Auditing
SID：查看结果为全空
Message：消息
各个位置含义：
0 The description for Event ID 4625 in Source "Microsoft-Windows-Security-Auditing" cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote compute
Data：全空
ComputerName：计算机名称
0 WIN-L5ST0VQ25FA 计算机名称
EventCategoryName：
0 The name for category 12544 in Source "Microsoft-Windows-Security-Auditing" cannot be found. The local computer may not have the necessary registry information or message DLL files to display messages from a remote computer
主要字段为：
- TimeGenerated：事件生成时间
- EventID：事件ID
- EventType：事件类型
- String：
- EventLog
- ComputerName：计算机名称
2.1.3 命令组成
基本格式：
logparser -i:输入文件格式 [-输入文件参数] -o:输出文件格式 [-输出格式参数] "SQL 查询语句"
示例：
LogParser.exe -i:EVT "SELECT EventID as EventID,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as username,EXTRACT_TOKEN(Strings,19,'|') as ip FROM C:\Users\172.16.5.30\sec.evtx where EventID=4625"
EventID：该值为System节点下的EventID
TimeGenerated：该值类似于EventID，表示时间
EXTRACT_TOKEN(Strings,5,'|')：该值为EventData部分的第六部分的值，为TargetUserName的值
2.1.1 常用命令
管理员登录时间和登录用户名（登陆成功）
LogParser.exe -i:EVT "SELECT EXTRACT_TOKEN(Strings,1,'|') as username,EXTRACT_TOKEN(Strings,5,'|') as username1,EXTRACT_TOKEN(Strings,19,'|') as ip,EventID,TimeGenerated FROM C:\sec.evtx where EventID = 4625"
查看（登陆失败）的记录
LogParser.exe -i:EVT "SELECT TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as username FROM c:.evtx where EventID=4625"
RDP爆破使用的用户名及爆破次数
待续...
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至举报，一经查实，本站将立刻删除。
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/196073.html
Postman是一套面向API全生命周期的开发与测试平台，可在Mac上发送和调试多种协议请求，管理集合、环境及认证信息，并完成脚本测试、模拟服务、监控、文档发布和团队协作。它适合开发、测试及运维人员使用，提供个人免费方案。
Docker Desktop 是 Docker 官方为 Mac 提供的容器开发环境，集成 Docker Engine、命令行工具、Compose、Build、Kubernetes 与图形化管理界面。
Android Studio 是 Google 面向安卓应用开发提供的官方集成开发环境，基于 IntelliJ IDEA 构建。它整合智能代码编辑、Gradle 构建、界面预览、设备模拟、性能分析、调试测试及 APK 分析等工具。
Xcode 是苹果面向 Mac 提供的官方集成开发环境，将代码编辑、项目构建、SwiftUI 实时预览、设备模拟、自动化测试、断点调试、性能分析和应用分发整合在同一套工作流中，适合开发与维护 iPhone、iPad、Mac、Apple Wa
JetBrains WebStorm 是面向 JavaScript、TypeScript 和现代 Web 技术的专业集成开发环境，可智能理解项目结构，提供代码补全、重构、错误检查、运行调试、测试及 Git 工具。
PhpStorm 是 JetBrains 推出的专业 PHP 集成开发环境，可在 Mac 上完成代码编写、智能检查、重构、调试、测试和数据库管理。它支持主流 PHP 框架、Composer、Git、Docker 与远程解释器。
JetBrains PyCharm 是面向 Python 开发者的集成开发环境，提供智能补全、代码检查、重构、调试、测试、版本控制及虚拟环境管理功能。Mac 版兼容 Intel 与 Apple 芯片，核心功能可免费使用。
IntelliJ IDEA 是 JetBrains 推出的专业集成开发环境，重点服务于 Java、Kotlin 与 JVM 项目开发。软件集成代码补全、静态检查、重构、调试、测试、版本控制及构建工具，并可借助插件扩展语言和框架支持。
Visual Studio Code 是微软提供的免费代码编辑器，支持 macOS，并为 Intel 与 Apple 芯片 Mac 提供适配版本。软件集代码编辑、调试、Git 源代码管理、集成终端和扩展市场于一体。
REAPER是Cockos开发的数字音频工作站，提供多轨音频与MIDI录制、剪辑、处理、混音和母带制作工具。Mac版兼容Intel与Apple芯片，支持AU、VST、VST3、CLAP等插件格式，并提供高度可定制的工作流程。
Adobe Audition 是面向播客、影视后期、音乐制作及内容创作者的专业音频工作站，提供波形精修、多轨录制与混音、频谱编辑、降噪修复、响度匹配和效果处理工具，并可与 Adobe Premiere 协同完成视频声音制作。
Pro Tools 是 Avid 推出的专业数字音频工作站，覆盖多轨录音、无损剪辑、MIDI 编曲、插件处理、自动化混音及声音与画面同步等工作。它拥有 Intro、Artist、Studio 和 Ultimate 等方案。
PixPix 是面向品牌、卖家和内容团队的在线 AI 图片视频创作平台，提供图视频 Agent、无限画布、图片生成、视频生成、自然语言编辑及商品套图、产品精修和带货视频等电商工具。
Postman 是面向 API 全生命周期的开发与协作平台。Windows 桌面版可用于构建和发送 HTTP、GraphQL、gRPC、WebSocket、MQTT 等请求，并提供环境变量、集合、脚本测试、模拟服务、监控、文档及团队工作区等
Docker Desktop 为 Windows 开发者提供集成式容器环境，内置 Docker Engine、命令行工具、Compose、Build 与 Kubernetes 等组件，可在本机完成镜像构建、容器运行、日志查看和资源管理。
Android Studio 是 Google 面向 Android 应用开发提供的官方集成开发环境，以 IntelliJ IDEA 为基础，集成智能代码编辑、Gradle 构建、设备模拟、界面预览、调试测试及性能分析工具，
WebStorm 是 JetBrains 面向 JavaScript、TypeScript 和现代 Web 技术打造的集成开发环境。它提供项目级代码分析、智能补全、安全重构、导航搜索，并集成调试、测试、终端、Git 与常用前端工具，
PhpStorm 是 JetBrains 面向 PHP 与现代 Web 开发打造的专业集成开发环境，提供代码补全、静态检查、重构、调试、测试、数据库、版本控制及前端语言支持。Windows 用户可直接下载安装程序，
PyCharm 是 JetBrains 推出的 Python 集成开发环境，提供智能代码补全、错误检查、重构、调试、测试、Git、终端及 Jupyter Notebook 支持。统一版安装后可体验 30 天 Pro 功能，
JetBrains IntelliJ IDEA 是以 Java、Kotlin 和 JVM 项目为核心的专业集成开发环境，提供智能补全、代码检查、安全重构、调试、测试、版本控制及构建工具集成。统一发行版的核心功能可免费用于商业和非商业项目，
Visual Studio Code 是微软推出的免费代码编辑器，Windows 版集成智能补全、代码导航、调试、终端和版本控制，并可通过扩展添加语言、格式化及远程开发能力。它启动较快、配置灵活，
REAPER 是 Cockos 推出的数字音频工作站，适用于录音、MIDI 编曲、音频编辑、混音、母带制作及声音设计。软件安装包小巧，支持多轨录制、灵活路由、自动化、第三方插件和脚本扩展，并提供完整功能的 60 天免费评估期。
Adobe Audition 是面向播客、影视后期、广播与音乐制作的专业音频工作站，提供波形编辑、多轨混音、频谱分析、录音、降噪修复和效果处理等功能。Windows 版通过 Adobe Creative Cloud 安装和管理，
Pro Tools 是 Avid 推出的专业数字音频工作站，提供多轨录音、音频剪辑、MIDI编曲、插件处理、自动化混音及影视声音制作能力。它适合音乐人、录音师、制作人和音频后期团队使用，并提供免费入门版、订阅方案及永久授权选择。