当一台windows服务器被入侵时，往往需要在运行过程中搜索和分析相应的安全日志。除了安全防护设备之外，系统软件内置的系统日志是调查取证的关键材料，但是这类系统日志的数量非常庞大，因此对windows安全日志进行合理深入的分析以获取我们需要的有用信息就显得尤为重要。详细介绍了windows系统日志的类型、存储位置、检索方法以及利用工具进行方便检索的方法。
windows系统软件运行过程中会不断记录系统日志信息，可分为系统日志、IIS系统日志、ftp客户端系统日志、数据库系统日志、邮件服务系统日志等。活动记录，WindowsEventLog文件实际上是以一种特殊的数据结构存储内容，包括关于系统软件、安全和应用软件的记录。每个记录的事件数据结构都包含ٶ뼤9元素:日期/时间、事件类型、用户、计算机、事件ID、来源、类别、描述、数据等等。操作人员可以通过系统日志调查取证，了解电脑中的具体行为。
启动Kramp-Karrenbauer操作，键入bindvwr.msc打开事件查看器查询系统日志。可以看到，事件查看器将系统日志分为两类:windows系统日志、应用系统日志和服务系统日志，其中有一些类型的事件，如应用软件、安全、安装、系统软件和forwardedevent。以下是详细介绍:
活动类型
应用系统日志。
应用软件或系统软件程序记录的事件主要记录程序执行级别的事件。例如，数据库程序可以在应用软件系统日志中记录不正确的文件，软件开发人员可以自行选择监控哪些事件。当一个应用软件宕机时，我们可以从程序系统日志中找到相应的记录，这可能有助于解决问题。
默认目录位置:%SystemRoot%系统软件32元 wine vt log in application software . evtx。
我在查看系统日志。
操作系统组件记录的事件包括驱动软件瘫痪、系统软件组件和应用软件瘫痪、不正确的数据丢失等。WindowsNT/2000操作系统预定义了系统日志中记录的时间类型。
默认目录位置:% SystemRoot % System32 wine vt log in system software . evtx。
我在享受它的安全记录
应用软件或系统软件程序记录的事件主要记录程序执行级别的事件。例如，数据库程序可以在应用软件系统日志中记录不正确的文件，软件开发人员可以自行选择监控哪些事件。当一个应用软件宕机时，我们可以从程序系统日志中找到相应的记录，或许可以帮你解决问题。
追根溯源:首先确认被篡改文件在网站被入侵后的修改时间，然后检查网站日志文件中相应时间点是否有POST log URL，再过滤出来检查这个IP的所有日志，确定是否是攻击者。如果服务器被入侵，可以查询系统日志，查看最新的登录日志，是否添加了默认的管理员用户。如果想要更详细的了解是如何被黑的，可以寻求网站安全公司的帮助，推荐SINESAFE、鹰盾安全、绿色联盟、启明星辰、大树安全等。这些都是非常好的网站安全公司。
