论文天下|会计论文|管理论文|计算机论文|医药学论文|经济学论文|法学论文|社会学论文|文学论文|教育论文|理科论文|工科论文|艺术论文|哲学论文|文化论文|外语论文|格式论文
论文天下
计算机应用论文  计算机理论论文  计算机网络论文  电子商务论文  软件工程论文  操作系统论文  通信技术论文   
Windows XP日志文件格式分析

inds xp日志文件格式分析

  日志文件是inds系统中一个比较特殊的文件,它记录着inds系统中所发生的一切,如各种系统服务的启动、运行、关闭等信论文联盟http://息。inds日志包括应用程序、安全、系统等几个部分,应用程序日志、安全日志和系统日志对应的文件名为appevent.evt、
  sysevent.evt。这些文件受到&ldqu;event lg(事件记录)&rdqu;服务的保护只能被清空,但是不能删除某一条记录。
   应用程序日志、安全日志、系统日志、dns日志等默认存放位置:%systert%\\syste32\\nfig,默认文件大小512kb。
  安全日志:%systert%\\syste32\\nfig\\seevent.evt
  系统日志:%systert%\\syste32\\nfig\\sysevent.evt
   应用程序日志:%systert%\\syste32\\nfig\\appevent.evt
   可以在注册表中修改这些lg文件的默认存放位置:
   hkey_lal_ahine\\syste\\urrentntrlset\\servies\\eventlg
  2日志文件的数据结构
  2.1日志文件头结构分析
   inds sdn中日志文件头的结构体数据类型如下:
  typedef strut _eventlgheader {
   ulng headersize; //文件头的大小,是固定值(0x30)
   ulng signature; //特定码值,总是(0x654664)
   ulng ajrversin; //主版本号,总是1
   ulng inrversin; //次版本号,总是1
   ulng startffset; //第一条(最早)日志记录的偏移量
   ulng endffset; //文件尾的文件内偏移量
  ulng urrentrerdnuber; //将要产生记录的记录号
   ulng ldestrerdnuber;//第一条(最早)记录的记录号
   ulng axsize; //日志文件的总大小,这里是64k(0x10000)
   ulng flags; //日志文件的状态标志
   ulng retentin; //文件创建时的保留值,与注册表关联。
   ulng endheadersize; //文件头的大小,文件头结束。
  }eventlgheader, *peventlgheader
   为了更为直观地展现出日志文件头的储存结构我们用inhex打开一个日志记录为空的日志文件,没有事件记录,只有文件头和文件尾。如图1所示。
   可以看到前三行共48个字节是文件头部分,接下来的40个字节是文件尾部分,之间没有事件记录。文件头部分其内容和日志文件头结构体相一致。在这里由于日志文件的内容是空的,所以startffset(第一条(最早)日志记录的文件内偏移量)和endffset(文件尾的文件内偏移量)相同都是0x30。这是一个空日志文件,由于没有事件记录所以ldestrerdnuber(第一条(最早)日志记录的记录号)为00 00 00 00。
  图1文件头和文件尾
  2.2日志文件尾结构分析
   inds sdn中日志文件尾的结构体数据类型如下:
  typedef strut _eventlgef {
   ulng rerdsizebeginning;//文件尾大小,固定值(0x28)
   ulng ne; //标识符,总是(0x11111111)
   ulng t; //标识符,总是(0x22222222)
   ulng three; //标识符,总是(0x33333333)
   ulng fur; //标识符,总是(0x44444444)
   ulng beginrerd; //第一条(最早)日志记录的偏移量
   ulng endrerd; //将要产生新的一条记录的偏移量,即当前文件尾的偏移量
   ulng urrentrerdnuber; //将要产生的记录的记录号
   ulng ldestrerdnuber; //第一条(最早)日志记录的记录号,如果事件日志为空时这里的值是0
   ulng rerdsizeend; //文件尾大小,是固定值(0x28)
  } eventlgef, *peventlgef;
   在图1中所示的日志文件,是把日志里的事件记录清空后得到的空日志文件,所以文件尾中的ldestrerdnuber值是1而不是0,endrerd值0x f4 71 05 00和urrentrerdnuber值0x 74 06 00 00都是日志事件记录清空前的值,系统并没有将其立即更新,而是等到再写入新事件记录时再更新。如果清空日志之前再产生一条记录的话,那么它的文件内偏移量将是0x f4 71 05 00记录号将是0x 74 06 00 00,即第1652个记录(0x674=1652)。

未完...点击下方链接下载完整文档

Windows XP日志文件格式分析

inds xp日志文件格式分析 日志文件是inds系统中一个比较特殊的文件,它记录着inds系统中所发生的一切,如各种系统服务的启动、运行、关闭等信论文联盟http://息。inds日志包括应用程序、安全、系统等几个部分,应用程序日志、安全日志和系统日志对应的文件名
  • 上一篇:计算机操作系统漫谈
  • 下一篇:在Windows XP环境下配置IIS
  • 《Linux操作系统》工学结合教学
    改善嵌入式Linux实时性能的方法
    提高实时操作系统的实时性能和可
    基于Cent OS操作系统的虚拟机应
    微软发布Windows8操作系统
    浅谈基于内容检索的媒体语义特征
    开放教育计算机操作系统课程教学
    windows nt环境下fddi网卡驱动程
    避免误删,找回Windows8删除文件
    搭建基于Linux桌面环境的影音平
    《计算机操作系统》课程教改研究
    感受便捷Windows8鲜为人知的五十
    iPad3问世前夜 Win8出鞘:微软舞
    于PCI9656设备驱动程序的Linux2.
    浅谈Windows XP系统漏洞的防范
    Windows XP 系统下网络应用问
    windows nt环境下fddi网卡驱动
    《Windows xp操作系统》教学中
    Windows NT中的登记项及其完整
    在Windows XP环境下配置IIS
    基于Windows XP平台的数控车铣
    基于PXE的无盘Windows XP在我
    基于PXE的无盘Windows XP在计
    Windows XP中优化精湛10招分析
    浅谈Windows XP系统漏洞的防范
    | 设为首页 | 加入收藏 | 联系我们 | 论文发表

    Copyright 2006-2020 © 论文天下 All rights reserved 本站所有内容均由SPider自动索引,如有侵权请联系QQ:2486851删除