投稿获客
  1. 创想鸟首页
  2. 用户投稿

Windows系统日志分析_windows日志命令

程序猿 • • 用户投稿 • 阅读 0

大家好，又见面了，我是你们的朋友全栈君。

本文使用的环境为我前面博客中介绍的搭建方法。具体链接请参考windows日志转发_leeezp的博客-CSDN博客_windows日志转发 安装 ewk (es+winlogbeat+kibana) 转发主机日志_leeezp的博客-CSDN博客

这篇文章记录windows事件和日志的对应关系。

0x00 远程桌面连接登录(mstsc)

kibana 中添加过滤 host.name、event.action、winlog.event_data.LogonProcessName、winlog.event_data.LogonType、process.name、winlog.event_id。

登录成功有三条事件：

Windows系统日志分析_windows日志命令

登录类型为 10，RemoteInteractive

意思是“通过rdp协议远程登录”。

Fantastic Windows Logon types and Where to Find Credentials in Them

事件id 为 4648，意思是“

当进程通过显式指定帐户的凭据尝试登录帐户时，将生成此事件。

这最常发生在批处理类型配置（如计划任务）中，或者使用”RUNAS”命令时

”

4648 (S) 尝试使用显式凭据登录。 (Windows 10) – Windows security | Microsoft Docs

登录失败如果在windows事件查看器 — Windows日志 — 安全 查看不到日志，可能是因为没有开启windows本地安全策略审核。(可能与windows版本或本地配置有关)

打开本地安全策略，cmd 输入 secpol.msc，如果报错“试图引用不存在的令牌”，

Windows系统日志分析_windows日志命令

将 C:WindowsSystem32secpol.msc 复制到其他目录，比如 桌面，双击打开即可。

在 “审核策略” — “审核登录事件” 开启 “成功” 和 “失败”的日志：

Windows系统日志分析_windows日志命令

设置完再次mstsc登录失败，在安全日志可以查看到登录失败 事件ID 4625 的告警：

Windows系统日志分析_windows日志命令
Windows系统日志分析_windows日志命令

如果没有配置本地安全策略开启登录审计，还有一个地方的日志可以发现一些端倪：

代码语言：javascript代码运行次数：0运行复制

Hi,You may view the Remote Desktop connection client ip address information in the following logs:Event ViewerApplications and Services LogsMicrosoftWindowsTerminalServices-LocalSessionManagerEvent ViewerApplications and Services LogsMicrosoftWindowsTerminalServices-RemoteConnectionManagerEvent ViewerWindows LogsSecurity  (Event ID: 4624, Logon Type: 10)-TP


Logging IP adderess during remote desktop connection


我是在 Event ViewerApplications and Services LogsMicrosoftWindowsTerminalServices-RemoteConnectionManager


                                                                        析稿Ai写作                                                                            析稿Ai写作                            


科研人的高效工具：AI论文自动生成，十分钟万字，无限大纲规划写作思路。


                                                            析稿Ai写作                                97                                                                                                        查看详情                            析稿Ai写作                                                            


Windows系统日志分析_windows日志命令


 刚好符合我密码字典里尝试的15次登录失败。


Windows系统日志分析_windows日志命令


Windows系统日志分析_windows日志命令


登录失败不清楚为什么会有1149 认证成功的日志。


这个日志可以用于远程登录失败的审计，无法审计登录成功。登录成功还是需要事先开启本地安全策略审核登录事件。


爆破成功的日志为很多 4625 中出现 4624，logintype 都是10。


Windows系统日志分析_windows日志命令


 如果看到 4778，4779 则表示 可能爆破时将正在登录的用户顶掉了。


Windows系统日志分析_windows日志命令


Windows系统日志分析_windows日志命令


0x01 UAC管理员账号登录


产生三条事件：


Windows系统日志分析_windows日志命令


consent.exe 意思是“当用户开启用户账户控制（UAC）功能时，一个程序要更改或者使用一些比较高权限才能做的事情的功能的时候、还有当你使用管理员账户运行程序的时候，会弹出一个对话框，询问您是否允许程序修改计算机设置，这个对话框的进程就是consent.exe”。


consent.exe_百度百科


4672 (S) 分配给新登录的特殊权限。 (Windows 10) – Windows security | Microsoft Docs


4672 常常是管理员及以上权限的用户登录触发。


0x02 mimikatz sekurlsa::ekeys  显示Kerberos加密密钥


此操作默认windows是不会留下安全日志的。(多个win7环境测试)


打开本地安全的略–审核特权使用


Windows系统日志分析_windows日志命令


执行 mimikatz privilege::debug sekurlsa::ekeys


Windows系统日志分析_windows日志命令


SeTcbPrivilege


 该特权标志着其拥有者是操作系统的一部分，拥有该特权的进程可利用LsaLogonUser()执行创建登录令牌等操作，因此可以充当任意用户


经多次测试，2个文件系统的告警几乎和此告警同时出现，可视为这个操作同时产生的事件。


版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。 


发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/195996.html原文链接：https://javaforall.cn


以上就是Windows系统日志分析_windows日志命令的详细内容，更多请关注创想鸟其它相关文章！


                                                        
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。

如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。

发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/394181.html
赞 (0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
0 0

关于作者

程序猿的头像

程序猿签约作者

414.1K 文章
0 评论
2 粉丝
这个人很懒，什么都没有留下～
ftp扫描工具最新版 ftp扫描工具更新日志
上一篇 2025年11月6日 16:57:50
js如何取json的值
下一篇 2025年11月6日 16:57:51

相关推荐

  • 修复Django电商项目中AJAX过滤产品列表图片不显示问题 用户投稿

    修复Django电商项目中AJAX过滤产品列表图片不显示问题

    在Django电商项目中，当使用AJAX动态加载过滤后的产品列表时，常遇到图片无法正常显示的问题。这通常是由于前端模板中图片加载方式（如data-setbg属性结合JavaScript库）与AJAX动态内容更新机制不兼容所致。解决方案是直接在AJAX返回的HTML中使用标准的标签来渲染图片，确保浏览…

    程序猿的头像 程序猿
    2026年5月10日
    000

  • Matplotlib 地图中多类型图例的创建与优化

    Matplotlib 地图中多类型图例的创建与优化Matplotlib 地图中多类型图例的创建与优化Matplotlib 地图中多类型图例的创建与优化Matplotlib 地图中多类型图例的创建与优化

    本教程旨在解决matplotlib地图可视化中，如何在一个图例中同时展示颜色块（如区域分类）和自定义标记（如特定兴趣点）的问题。文章详细介绍了当传统`patch`对象无法正确显示标记时，如何利用`matplotlib.lines.line2d`创建标记图例句柄，并将其与颜色块图例句柄合并，从而生成一…

    程序猿的头像 程序猿
    2026年5月10日 • 用户投稿
    100
  • Golang JSON序列化：控制敏感字段暴露的最佳实践 用户投稿

    Golang JSON序列化：控制敏感字段暴露的最佳实践

    本教程探讨golang中如何高效控制结构体字段在json序列化时的可见性。当需要将包含敏感信息的结构体数组转换为json响应时，通过利用`encoding/json`包提供的结构体标签，特别是`json:”-“`，可以轻松实现对特定字段的忽略，从而避免敏感数据泄露，确保api…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • 怎么在PHP代码中实现图片上传功能_PHP图片上传功能实现与安全处理教程 用户投稿

    怎么在PHP代码中实现图片上传功能_PHP图片上传功能实现与安全处理教程

    首先创建含enctype的HTML表单，再用PHP接收文件，检查目录、移动临时文件，验证类型与大小，生成唯一文件名，并调整php.ini限制以确保上传成功。 如果您尝试在PHP项目中添加图片上传功能，但服务器无法正确接收或保存文件，则可能是由于表单配置、文件处理逻辑或安全限制的问题。以下是实现该功能…

    程序猿的头像 程序猿
    2026年5月10日
    100
  • 比特币新手教程 比特币交易平台有哪些 用户投稿

    比特币新手教程 比特币交易平台有哪些

    比特币是一种去中心化的数字货币，基于区块链技术实现点对点交易，具有匿名性、有限发行和不可篡改等特点；新手可通过交易所购买，P2P交易获得比特币，常用平台包括Binance、OKX和Huobi；交易流程包括注册账户、实名认证、绑定支付方式、充值法币并下单购买，可选择市价单或限价单；比特币存储方式有交易…

    程序猿的头像 程序猿
    2026年5月10日
    000

  • HTML如何隐藏滚动条或去除滚动条

    滚动条可以存在也可以不存在，本文主要介绍了html 隐藏滚动条和去除滚动条的方法的相关资料,大家一起来学习一下html隐藏滚动条或去除滚动条的方法吧。 1. html 标签加属性 XML/HTML Code复制内容到剪贴板 2.body中加入以下代码 立即学习“前端免费学习笔记（深入）”； html…

    程序猿的头像 程序猿
    用户投稿 2026年5月10日
    000
  • Golang gRPC流式请求异常处理 用户投稿

    Golang gRPC流式请求异常处理

    在Golang的gRPC流式通信中，必须通过context.Context处理异常。应监听上下文取消或超时，及时释放资源，设置合理超时，避免连接长时间挂起，并在goroutine中通过context控制生命周期。 在使用 Golang 和 gRPC 实现流式通信时，异常处理是确保服务健壮性的关键部分…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • Go语言mgo查询构建：深入理解bson.M与日期范围查询的正确实践 用户投稿

    Go语言mgo查询构建：深入理解bson.M与日期范围查询的正确实践

    本文旨在解决go语言mgo库中构建复杂查询时，特别是涉及嵌套`bson.m`和日期范围筛选的常见错误。我们将深入剖析`bson.m`的类型特性，解释为何直接索引`interface{}`会导致“invalid operation”错误，并提供一种推荐的、结构清晰的代码重构方案，以确保查询条件能够正确…

    程序猿的头像 程序猿
    2026年5月10日
    100
  • vscode上怎么运行html_vscode上运行html步骤【指南】 用户投稿

    vscode上怎么运行html_vscode上运行html步骤【指南】

    首先保存文件为.html格式，再通过浏览器或Live Server插件打开预览；推荐安装Live Server实现本地服务器运行与实时刷新，提升开发体验。 在 VS Code 上运行 HTML 文件并不需要复杂的配置，只需几个简单步骤即可预览页面效果。VS Code 本身是一个代码编辑器，不直接运行…

    程序猿的头像 程序猿
    2026年5月10日
    100
  • 修复点击时按钮抖动：CSS垂直对齐实践 用户投稿

    修复点击时按钮抖动：CSS垂直对齐实践

    本文探讨了在Web开发中，交互式按钮（如播放/暂停按钮）在点击时发生意外垂直位移的问题。通过分析CSS样式变化对元素布局的影响，我们发现这是由于按钮不同状态下的边框样式和内边距改变，以及默认的垂直对齐行为共同作用所致。核心解决方案是利用CSS的vertical-align属性，将其设置为middle…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • Golang goroutine与channel调试技巧 用户投稿

    Golang goroutine与channel调试技巧

    使用go run -race检测数据竞争，结合runtime.NumGoroutine监控协程数量，通过pprof分析阻塞调用栈，利用select超时避免永久阻塞，有效排查goroutine泄漏、死锁和数据竞争问题。 Go语言的goroutine和channel是并发编程的核心，但它们也带来了调试上…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • 页面中文本域的值怎么设置 用户投稿

    页面中文本域的值怎么设置

    标签定义多行的文本输入控件。 文本区中可容纳无限数量的文本，其中的文本的默认字体是等宽字体（通常是 Courier）。 可以通过 cols 和 rows 属性来规定 textarea 的尺寸，不过更好的办法是使用 CSS 的 height 和 width 属性。 注释：在文本输入区内的文本行间，用 …

    程序猿的头像 程序猿
    2026年5月10日
    000
  • 使用 Jupyter Notebook 进行探索性数据分析 用户投稿

    使用 Jupyter Notebook 进行探索性数据分析

    Jupyter Notebook通过单元格实现代码与Markdown结合，支持数据导入（pandas）、清洗（fillna）、探索（matplotlib/seaborn可视化）、统计分析（describe/corr）和特征工程，便于记录与分享分析过程。 Jupyter Notebook 是进行探索性…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • 如何在HTML中插入表单元素_HTML表单控件与输入类型使用指南 用户投稿

    如何在HTML中插入表单元素_HTML表单控件与输入类型使用指南

    HTML表单通过标签构建，包含action和method属性定义数据提交目标与方式，常用input类型如text、password、email等适配不同输入需求，配合label、required、placeholder提升可用性，结合textarea、select、button等控件实现完整交互，是…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • 前端缓存策略与JavaScript存储管理 用户投稿

    前端缓存策略与JavaScript存储管理

    根据数据特性选择合适的存储方式并制定清晰的读写与清理逻辑，能显著提升前端性能；合理运用Cookie、localStorage、sessionStorage、IndexedDB及Cache API，结合缓存策略与定期清理机制，可在保证用户体验的同时避免安全与性能隐患。 前端缓存和JavaScript存…

    程序猿的头像 程序猿
    2026年5月10日
    100
  • HTML5网页如何实现手势操作 HTML5网页移动端交互的处理技巧 用户投稿

    HTML5网页如何实现手势操作 HTML5网页移动端交互的处理技巧

    首先利用原生touch事件实现滑动判断，再通过preventDefault解决滚动冲突，接着引入Hammer.js处理复杂手势，最后通过优化点击区域、避免事件冲突和增加视觉反馈提升体验。 在移动端浏览器中，HTML5网页可以通过触摸事件实现手势操作，提升用户体验。虽然原生JavaScript提供了基…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • 创建指定大小并填充特定数据的Golang文件教程 用户投稿

    创建指定大小并填充特定数据的Golang文件教程

    本文将介绍如何使用Golang创建一个指定大小的文件，并用特定数据填充它。我们将使用 `os` 包提供的函数来创建和截断文件，从而实现快速生成大文件的目的。示例代码展示了如何创建一个10MB的文件，并将其填充为全零数据。掌握这些方法，可以方便地在例如日志系统或磁盘队列等场景中，预先创建测试文件或初始…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • PHP动态生成表单输入与POST数据获取实践指南 用户投稿

    PHP动态生成表单输入与POST数据获取实践指南

    本教程详细阐述了如何在php中根据动态数据源（如数据库值）生成多个表单输入框，并演示了如何通过post方法准确无误地获取这些动态生成的输入值。文章强调了正确的输入框命名策略，避免了常见的命名误区，并提供了完整的代码示例，确保开发者能够高效处理动态表单数据。 动态生成表单输入 在Web开发中，我们经常…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • JavaScript 闭包：理解闭包原理与内存泄漏问题 用户投稿

    JavaScript 闭包：理解闭包原理与内存泄漏问题

    闭包是函数访问其外部作用域变量的能力，即使外部函数已执行完毕。如 inner 函数引用 outer 中的 count，形成闭包，使变量持久存在。闭包本身无害，但可能因延长变量生命周期导致内存泄漏，例如事件监听器引用大对象时。若未及时清理 DOM 事件或定时器，闭包会阻止垃圾回收，造成内存占用过高。解…

    程序猿的头像 程序猿
    2026年5月10日
    000
  • JavaScript 动态菜单点击高亮效果实现教程 用户投稿

    JavaScript 动态菜单点击高亮效果实现教程

    本教程详细介绍了如何使用 JavaScript 实现动态菜单的点击高亮功能。通过事件委托和状态管理，当用户点击菜单项时，被点击项会高亮显示（绿色），同时其他菜单项恢复默认样式（白色）。这种方法避免了不必要的DOM操作，提高了性能和代码可维护性，确保了无论点击方向如何，功能都能稳定运行。 动态菜单高亮…

    程序猿的头像 程序猿
    2026年5月10日
    200

发表回复

登录后才能评论
关注微信