【Windows日志】结构解析

在以往对Windows日志认知中，我们都认为Windows系统是不支持删除指定某条日志的情况，如果要抹除入侵痕迹只能清空全部日志，这样做的话，其实被入侵、攻击用户很容易发现问题，但是如果能做到只删除某几条日志的话，就能做到神不知鬼不觉。

其实Windows的日志系统并不是不支持删除某几条日志，只是Windows日志文件有严格的校验机制，单纯删除或者修改日志内容，会导致无法通过系统校验，导致文件无法正常浏览。接下来我们就以Windows7中evtx格式的日志文件给大家介绍其文件结构。

Windows事件日志一直保持着清晰、可识别性的二进制结构，每个日志文件由文件头、数据块、结尾空值组成。整个日志文件大体结构如下：

文件头结构

文件头由4096字节大小组成，具体的内容如下：

数据块结构

每个数据块的大小为65536字节，每个数据块大小为65536字节，数据块的头部标签名为45 6C 66 43 68 6E 6B 00(ElfChnkx00)，数据块由数据块头部，事件记录，闲置空间，数据块文件头由512字节大小组成。

事件记录结构

数据块包含多个事件记录，一个事件记录对应一条日志信息。事件记录的的大小及组成如下表：

以上就是今天给大家介绍的关于Windows日志的文件结构，了解完它的文件结构，后续我们就可以神不知鬼不觉的将某些有可能被发现的敏感操作的日志记录进行修改或者是删除。

来源：取证知道

今天教你一次搞定懵逼的日志分析

今天再教你一种日志分析方法

本文始发于微信公众号（电子物证）：【Windows日志】结构解析