說起windows的日志,大家最熟悉的就是系統日志了,網上也有很多現成的工具來清除windows的系統事件.而對于windows系統防火墻的日志,可能都沒怎么重視.也沒有發現有專門清除防火墻日志的工具,雖然它只是一個txt文件。

本文將簡單介紹一下windows自帶防火墻的日志格式,通過實際案例(3389遠程桌面和lcx轉發內網端口),來說明通過防火墻日志分析入侵痕跡的方式.

防火墻的配置跟大多數防火墻類似,就不贅述了.默認情況下,防火墻的日志文件位于:

C:\windows\pfirewall.log

每個字段的含義如下,在pfirewall.log最開始有注釋.

一次3389遠程桌面的連接日志：

都懂,ip在那擺著…

lcx轉發內網端口的日志

lcx轉發內網端口:192.168.31.205上執行 lcx.exe -slave 192.168.31.201 2222 192.168.31.110 3389

日志處理過,把中間一些其他無關的給過濾掉了.可以看到特征還是很明顯的.會有兩個連接到201的2222端口.有一個連接到110的3389端口,剛好夾在兩個到2222端口的連接之間.從205的本地端口號可以很清晰的判斷(2328,2329,2330).后面幾行到201的2222端口,不斷打開關閉是由于先結束掉了201上監聽的lcx進程.這個特征也很明顯.可以基于這些來判斷端口被轉發到的目的地址.

lcx轉發本地端口:192.168.31.205上執行 lcx.exe -slave 192.168.31.201 2222 127.0.0.1 3389

同樣,根據第一個案例,可以推斷出.205上應該open3個連接.2個到201的2222端口.一個到127.0.0.1的3389端口.從日志中我們只看到了到201的2222端口,不過從端口號上可以看出,從2342到2344,中間的2343應該是被占用了.只是到127.0.0.1的3389端口,流量沒有通過防火墻,沒有被記錄下來.從上面的分析可以看出.windows的自帶的防火墻IP追蹤方面還是有一些作用的.