STATEMENT

声明

由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。

雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

LogPerser使用

分子实验室 https://molecule-labs.com/

下载安装：

微软官方链接：

https://www.microsoft.com/en-us/download/details.aspx?id=24659

直接点击exe安装即可

日志文件EVT介绍:

EVT输入格式的详细概述，包括一个描述生成记录结构的“Fields”部分:

Fields:

EventLog (S) RecordNumber (I) TimeGenerated (T)

TimeWritten (T) EventID (I) EventType (I)

EventTypeName (S) EventCategory (I) EventCategoryName (S)

SourceName (S) Strings (S) ComputerName (S)

SID (S) Message (S) Data (S)

描述如下:

LogPerser命令介绍

logperser为SQL语句, 数据将会以表的形式生成,指定执行所需任务的SQL查询;

完整命令如下所示：

LogParser -i:EVT -o:NAT "SELECT * FROM System"

即将system日志所有的信息已控制台输出

当使用NAT输出格式将结果显示到控制台窗口时，Log Parser打印10行，然后暂停打印输出，并提示用户按下一个键来显示接下来的10行。即上图中的"press a key...."

为了覆盖这个行为，你可以使用NAT输出格式的“-rtp”参数来指定暂停前打印的行数;如果想完全禁用暂停，并让日志解析器在单个打印输出中显示所有记录，请使用“-1”值。

如:LogParser -i:EVT -o:NAT "SELECT * INTO STDOUT FROM System" -rtp:-1

即可不会出现"press a key...."

需要将输出为表格文件可以将输出格式NAT改为CSV 命令为: LogParser -i:EVT -o:csv "SELECT * INTO STDOUT FROM System" >log.csv 

表格内容如下:

针对事件进行检索命令

执行上面的基本查询时，Log Parser将系统事件日志中所有事件的所有字段打印到控制台窗口。

大多数时候，事件日志记录的所有14个字段的打印输出可能并不理想。例如，我们可能只想查看每个事件生成的时间、事件的类型和事件源的名称。

为此，我们必须将SELECT子句中的“*”通配符替换为希望显示的字段名称的逗号分隔列表。如希望获取TimeGenerated, EventTypeName, SourceName信息:

LogParser -i:EVT -o:NAT "SELECT TimeGenerated, EventTypeName, SourceName FROM System"

考虑前面的示例，假设对于“TimeGenerated”字段，我们只需要检索生成事件时的日期，忽略所有的时间元素。

日志解析器sql类语言支持多种函数，包括算术函数(如ADD、SUB、MUL、DIV、MOD、QUANTIZE等)、字符串操作函数(如SUBSTR、STRCAT、STRLEN、EXTRACT_TOKEN等)和时间戳操作函数(如TO_DATE、TO_TIME、TO_UTCTIME等)。

为此，我们需要使用TO_DATE函数修改“TimeGenerated”字段，该函数接受一个TIMESTAMP类型的值，并返回一个TIMESTAMP类型的新值，该值只包含年、日和月元素：

LogParser -i:EVT -o:NAT "SELECT TO_DATE(TimeGenerated), EventTypeName, SourceName FROM System"

在日志分析中,我们需要对特定事件进行进行筛选的情况, 则需要用到where命令.命令行如下:

LogParser -i:EVT -o:csv "select EventID,TimeGenerated,EXTRACT_TOKEN(Strings,5,'|') as User,EXTRACT_TOKEN(Strings,10,'|') as EventType , EventTypeName , EXTRACT_TOKEN(Strings,19,'|') as IP,EXTRACT_TOKEN(Strings,20,'|') as port from "安全.evtx" where EventID = 4625 ">%cd%\\4625.csv

该命令为检索4625事件ID. 输出内容如下:

其中-o:cvs 是输出模式, 不需要-rtp:-1即可输出全部内容。

EXTRACT_TOKEN(Strings,5,'|') as User 语句中EXTRACT_TOKEN即为提取日志Strings内容,内容为XML表的第五行(从0开始计数),该列名为IP。各行信息表在日志中可查看, 例如4625事件XML表如下:

需要提取哪行数据及EXTRACT_TOKEN(Strings,X-1,'|') 即可

常见命令如下:

针对登录事件ID进行提取IP进行统计

如4624,4625

LogParser  -i:EVT -o:csv "select EventID,TimeGenerated,EXTRACT_TOKEN(Strings,5,'|') as User,EXTRACT_TOKEN(Strings,10,'|') as EventType , EventTypeName , EXTRACT_TOKEN(Strings,19,'|') as IP,EXTRACT_TOKEN(Strings,20,'|') as port from "安全.evtx" where EventID = 4625 ">%cd%\\4625.csv

LogParser -i:EVT -o:csv "select EventID,TimeGenerated,EXTRACT_TOKEN(Strings,5,'|') as User,EXTRACT_TOKEN(Strings,8 ,'|') as EventType , EventTypeName , EXTRACT_TOKEN(Strings,18,'|') as IP,EXTRACT_TOKEN(Strings,19,'|') as port from "安全.evtx" where EventID = 4624 ">%cd%\\4624.csv

指定登录时间范围的事件：

LogParser.exe -i:EVT -o:csv  "SELECT *  FROM [日志名].evtx where TimeGenerated>'2018-06-19 23:32:11' and TimeGenerated<'2018-06-20 23:34:00' and EventID=4624"

参考LogParser官方文档

RECRUITMENT

招聘启事

安恒雷神众测SRC运营（实习生）
————————
【职责描述】
1.  负责SRC的微博、微信公众号等线上新媒体的运营工作，保持用户活跃度，提高站点访问量；
2.  负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作，促进审核人员与白帽子之间友好协作沟通；
3.  参与策划、组织和落实针对白帽子的线下活动，如沙龙、发布会、技术交流论坛等；
4.  积极参与雷神众测的品牌推广工作，协助技术人员输出优质的技术文章；
5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】 
 1.  责任心强，性格活泼，具备良好的人际交往能力；
 2.  对网络安全感兴趣，对行业有基本了解；
 3.  良好的文案写作能力和活动组织协调能力。

简历投递至 

bount[email protected]

设计师（实习生）

————————

简历投递至 

[email protected]

安全招聘

简历投递至

[email protected]

岗位：红队武器化Golang开发工程师

[email protected]

END

长按识别二维码关注我们