logparser日志分析详解

无问社区-官网：http://www.wwlib.cn

本期无人投稿，欢迎大家投稿，投稿可获得无问社区AI大模型的使用红包哦！

无问社区：网安文章沉浸式免费看！

无问AI大模型不懂的问题随意问！

全网网安资源智能搜索只等你来！

01 工具介绍

    Logparser是微软的一款日志分析工具，使用方便功能强大。
支持的日志类型：
IISW3C,NCSA,IIS,IISODBC,BIN,IISMSID,HTTPERR,URLSCAN,CSV,TSV,W3C,XML,EVT, ETW,NETMON, REG, ADS, TEXTLINE, TEXTWORD, FS,COM
可输出的文件类型
CSV, TSV, XML, DATAGRID, CHART, SYSLOG,NEUROVIEW, NAT, W3C, IIS, SQL, TPL, NULL

02 工具演示

    查询语法与SQL语句一样，所以较容易上手，这里以windows系统日志为例。

Windows日志ID说明

4624	登录失败
4625	登录成功
4768	Kerberos身份认证请求（TGT）
4769	Kerberos服务票据请求
4776	NTLM身份验证
4720	创建用户
4726	删除用户
4672	授予特殊权限

    查询所有日志字段：

logparser -i:evt -o:DATAGRID "select * from S.evtx"

通常不会这么查询，因为有些信息是用不到的，会影响排查速度所以需要筛选字段来查看。

logparser -i:evt -o:DATAGRID "select TimeGenerated,TimeWritten,EventType,Strings from S.evtx"

logparser -i:evt -o:DATAGRID "select TimeGenerated,TimeWritten,EventType,Strings from S.evtx where TimeGenerated>timestamp('2021-12-01','yyyy-MM-dd')"

如果要进一步的过滤，如指定IP或者事件ID，我们可以采用以下方式来查询。
指定IP地址查询：

logparser -i:evt -o:DATAGRID "select EXTRACT_TOKEN(strings,19,'|') as LoginIp,EXTRACT_TOKEN(strings,17,'|') as ProcessName,message from dd.evtx where TimeGenerated>timestamp('2022-02-05','yyyy-MM-dd') and EXTRACT_TOKEN(strings,19,'|')='IP地址'"

指定事件ID查询：

logparser -i:evt -o:DATAGRID "select * from S.evtx where eventid=4625"

这里单独说一下EXTRACT_TOKEN()函数，这个函数需要传入三个参数，第一个参数为字段名；第二个参数为分割后的列数，列数从0开始排序；第三列为分隔符。

为了方便操作，我们也可以将查询结果导出到CSV文件中

logparser -i:evt -o:CSV "select EXTRACT_TOKEN(strings,19,'|') as LoginIp,EXTRACT_TOKEN(strings,17,'|') as ProcessName,message from dd.evtx where TimeGenerated>timestamp('2022-02-05','yyyy-MM-dd') and EXTRACT_TOKEN(strings,19,'|')='172.16.219.56'" > 5.csv

通过excel表格可以更加灵活的查找与筛选我们所需要的数据。