windows日志查看-非法關機判斷方法

日志文件，它記錄着Windows系統及其各種服務運行的每個細節，對增強Windows的穩定和安全性，起着非常重要的作用。但許多用戶不注意對它保護，一些“不速之客”很輕易就將日志文件清空，給系統帶來嚴重的安全隱患。

　　一、什么是日志文件

　　日志文件是Windows系統中一個比較特殊的文件，它記錄着Windows系統中所發生的一切，如各種系統服務的啟動、運行、關閉等信息。 Windows日志包括應用程序、安全、系統等幾個部分，它的存放路徑是“%systemroot%system32config”，應用程序日志、安全日志和系統日志對應的文件名為AppEvent.evt、SecEvent.evt和SysEvent.evt。這些文件受到“Event Log（事件記錄）”服務的保護不能被刪除，但可以被清空。

　　二、如何查看日志文件

　　在Windows系統中查看日志文件很簡單。點擊“開始→設置→控制面板→管理工具→事件查看器”，在事件查看器窗口左欄中列出本機包含的日志類型，如應用程序、安全、系統等。查看某個日志記錄也很簡單，在左欄中選中某個類型的日志，如應用程序，接着在右欄中列出該類型日志的所有記錄，雙擊其中某個記錄，彈出“事件屬性”對話框，顯示出該記錄的詳細信息，這樣我們就能准確的掌握系統中到底發生了什么事情，是否影響Windows的正常運行，一旦出現問題，即時查找排除。

　　三、Windows日志文件的保護

　　日志文件對我們如此重要，因此不能忽視對它的保護，防止發生某些“不法之徒”將日志文件清洗一空的情況。

　　1． 修改日志文件存放目錄

　　Windows日志文件默認路徑是“%systemroot%system32config”，我們可以通過修改注冊表來改變它的存儲目錄，來增強對日志的保護。

　　點擊“開始→運行”，在對話框中輸入“Regedit”，回車后彈出注冊表編輯器，依次展開 “HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Eventlog”后，下面的 Application、Security、System幾個子項分別對應應用程序日志、安全日志、系統日志。

　　筆者以應用程序日志為例，將其轉移到“d:/cce”目錄下。選中Application子項,在右欄中找到File鍵，其鍵值為應用程序日志文件的路徑“%SystemRoot%system32configAppEvent.Evt”，將它修改為“d:cceAppEvent.Evt”。接着在D 盤新建“CCE”目錄，將“AppEvent.Evt”拷貝到該目錄下，重新啟動系統，完成應用程序日志文件存放目錄的修改。其它類型日志文件路徑修改方法相同，只是在不同的子項下操作。

　　2． 設置文件訪問權限

　　修改了日志文件的存放目錄后，日志還是可以被清空的，下面通過修改日志文件訪問權限，防止這種事情發生，前提是Windows系統要采用NTFS文件系統格式。

　　右鍵點擊D盤的CCE目錄，選擇“屬性”，切換到“安全”標簽頁后，首先取消“允許將來自父系的可繼承權限傳播給該對象”選項勾選。接着在賬號列表框中選中“Everyone”賬號，只給它賦予“讀取”權限；然后點擊“添加”按鈕，將“System”賬號添加到賬號列表框中，賦予除“完全控制”和“修改”以外的所有權限，最后點擊“確定”按鈕。這樣當用戶清除Windows日志時，就會彈出錯誤對話框。

　　四、Windows日志實例分析

　　在Windows日志中記錄了很多操作事件，為了方便用戶對它們的管理，每種類型的事件都賦予了一個惟一的編號，這就是事件ID。

　　1． 查看正常開關機記錄

　　在Windows系統中，我們可以通過事件查看器的系統日志查看計算機的開、關機記錄，這是因為日志服務會隨計算機一起啟動或關閉，並在日志中留下記錄。這里我們要介紹兩個事件ID“6006和6005”。6005表示事件日志服務已啟動，如果在事件查看器中發現某日的事件ID號為6005的事件，就說明在這天正常啟動了Windows系統。6006表示事件日志服務已停止，如果沒有在事件查看器中發現某日的事件ID號為6006的事件，就表示計算機在這天沒有正常關機，可能是因為系統原因或者直接切斷電源導致沒有執行正常的關機操作。

　　2． 查看DHCP配置警告信息

　　在規模較大的網絡中，一般都是采用DHCP服務器配置客戶端IP地址信息，如果客戶機無法找到DHCP服務器，就會自動使用一個內部的IP地址配置客戶端，並且在Windows日志中產生一個事件ID號為1007的事件。如果用戶在日志中發現該編號事件，說明該機器無法從DHCP服務器獲得信息，就要查看是該機器網絡故障還是DHCP服務器問題。

 

 

本篇文章來源於 黑客基地-全球最大的中文黑客站 原文鏈接：http://www.hackbase.com/tech/2009-08-23/55235.html

 

 

1.有時各位同仁在處理問題時，查看事件查看器，根據事件源及ID，想要去查看是什么原因，可以到internet上去找，可是有的要收費的，下面的方法可以去eventid上查看。

引用:
可是EVENTID.NET上有的信息要付費注冊用戶才能看，怎么辦呢：）

 

查EVENTID.NET可以按以下方法來查
[url]http://www.eventid.net/display.asp?eventid=xxxx&source=yyyy[/url]
xxxx即事件ID
yyyy即事件來源

 

2.當windows系統出現藍屏時，我們可以通過工具軟件去讀取藍屏所生成的文件去，根據此工具提供的信息，對你也許用!發現機器很不穩定，經常藍屏，不知道如何去處理？ 重裝系統后，好了幾天，有出現同樣的問題，這么頭疼的問題，怎么辦？懷疑硬件問題，但怎么看都不像是硬件的故障。 可能大家束手無策的時候，有一個Windows Debug工具，能夠通過分析Dump文件來確定機器BSOD的原因，從而輕松解決藍屏問題。
一、當遇到Windows蘭屏或不穩定時，用DSET工具收集系統的日志，來具體分析：是不是有蘭屏？機器有沒有生成Dump文件？
        1，在DSET的Logs中打開system Uptime,可以發現機器關機的幾種類型：Shutdown（正常關機）、Abnormal shutdown(非正常關機)、Blue Screen（蘭屏）；

 

2，在Environment中的Kernel Dump中可以發現是否已經生成了Dump文件：Minidump、Complete dump；

二，這些文件存放在目錄C：/windows/minidump中，所有的文件都只有64K。
         假如沒有發現這些minidump文件，建議您檢查windows關於Dump文件的設置是否正確：

三，用windows debug工具來分析這些Dump文件；
1， 安裝windows debug工具，最新版的工具可以直接從Microsoft下載：   [url]http://msdl.microsoft.com/download/symbols/debuggers/dbg_x86_6.6.03.5.exe[/url]
       2，下載對應操作系統的符號文件庫，不同的操作系統會對應不同的符號文件：windows2003和windows 2003SP1就有不同 的符號庫，同樣，windows2000SP2和windowsSP4也有各自的符號庫，這些符號庫可以在微軟的網站下載：
        [url]http://msdl.microsoft.com/download/symbols/packages[/url]
3， 在windows debug中設置好符號庫文件的路徑，以便分析時能調用到正確的符號庫文件；

 

 

4，打開你要分析的windows Minidump文件：File-----open crash dump;

 5，打開Dump文件后，屏幕會出現windows的Debug窗口，在窗口的底部會出現命令行，輸入 ‘!analyze -v’命令即可開始蘭屏的分析，剩下來的工作就是等這個工具給你一個滿意的答案：某個驅動文件引起的蘭屏。

 

你還可以驗證這個驅動程序是不是在機器的的內存中，鍵入‘lm’就可以列出所有駐留在內存中的程序；

命令：‘lmvm sentinel’可以查到這個驅動文件所在目錄：

 6, 你可以將你找到的這個驅動程序在Googel或者Baidu上搜索以下，很快你就會發現這個驅動是哪個第三方的應用程序，這個例子中的SENTINEL.SYS 是金蝶軟件加密狗的軟件模擬驅動。
說明：實際情況中可能會有很多分析的結果會顯示是windows的內核文件引起的蘭屏，這是因為windows debug無法從Minidump中分析 出具體是內核文件調用了哪個驅動程序后引起的蘭屏。這時就需要提供更全面的完全內存轉儲文件或內核轉儲文件，通過更多的命令行來分析具體的原因了。更多的 命令的介紹，可以參看安裝好后的debuging help。

另外，通過在以下的聯接中輸入蘭屏代碼，如：0x000000ab，你也可以找到一些微軟關於這樣的出錯的解釋和解決方案。

參考： windows日志查看-非法關機判斷方法