服务器入侵日志如何查询并找到攻击者利用的漏洞

当windows服务器遭到入侵时，在运行过程中经常需要检索和深入分析相应的安全日志。除安全防护设备外，系统软件内置系统日志是调查取证的关键材料，但此类系统日志数量非常庞大，须要对windows安全日志开展合理深入分析，以获取我们需要的有用信息，这一点尤为重要。本文详细介绍了windows的系统日志种类，存储具体位置，检索方式，以及使用工具的方便检索。

系统日志信息在windows系统软件运行过程中会不断地被记录，依据记录的种类能够分成系统日志、IIS系统日志、ftp客户端系统日志、数据库系统日志、邮件服务系统日志等。活动记录，WindowsEventLog文件实际上是以一种特殊的数据结构存储内容，包含关于系统软件、安全性、应用软件的记录。在每一个记录事件的数据结构中包含9个要素(这能够理解为数据库中的字段)：日期/时间、事件种类、用户、计算机、事件ID、源、类别、说明、数据等等。操作员能够通过系统日志调查取证，了解到计算机中发生的具体行为。

启动-运行，键入bindvwr.msc点开事件查看器来查询系统日志。您能够看到，事件查看器将系统日志分成两大类：windows系统日志、应用软件系统日志和服务系统日志，其中还有一些种类的事件，如应用软件、安全性、setup、系统软件、forwardedevent。下面分别开展详细介绍：

活动种类

应用软件系统日志。

包含应用软件或系统软件程序记录的事件，主要是记录程序执行层面的事件，例如数据库程序能够记录应用软件系统日志中的文件不正确，软件开发人员能够自己选择要监视哪些事件。当一个应用软件瘫痪时，我们可以从程序系统日志中找到对应的记录，这可能对解决问题有所帮助。

预设目录位置：%SystemRoot%\系统软件32\Winevt\登录\应用软件.evtx。

·系统日志。

由操作系统组件发生的事件记录，具体包含驱动软件瘫痪、系统软件组件和应用软件瘫痪以及数据丢失不正确等。WindowsNT/2000操作系统预先定义了系统日志中记录的时间种类。

预设目录位置：%SystemRoot%\System32\Winevt\登录\系统软件.evtx

·安全记录

包含应用软件或系统软件程序记录的事件，主要是记录程序执行层面的事件，例如数据库程序能够记录应用软件系统日志中的文件不正确，软件开发人员能够自己选择要监视哪些事件。当一个应用软件瘫痪时，我们可以从程序系统日志中找到对应的记录，这可能会帮助您解决问题。

溯源日志排查总结：首先确认下网站被入侵后篡改文件的修改时间，然后查看下网站日志文件中对应时间点有无POST的日志URL，然后筛选出来查下此IP所有的日志就能确定是否是攻击者，如果服务器被入侵的话可以查询系统日志看下最近时间的登录日志，以及有无增加默认管理员用户之类的，如果想要更详细的查询是如何被入侵的话可以寻求网站安全公司的帮助，推荐SINESAFE,鹰盾安全，绿盟，启明星辰，大树安全等等这些都是很不错的网站安全公司。