Windows 2000 系統日誌詳細分析與刪除實戰指南

一、主要日誌類型與預設路徑

二、日誌登錄表位置

• 應用程式/安全性/系統/DNS：HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog 下各子機碼可查路徑。
• Scheduler：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent。

管理員可能已將日誌重新導向他處，須查註冊表確認實際位置。

三、FTP/WWW 日誌內容範例與分析

FTP 日誌 (ex001023.log)

#Software: Microsoft Internet Information Services 5.0
#Date: 20001023 0315
#Fields: time c-ip cs-method cs-uri-stem sc-status
0315 127.0.0.1 USER administrator 331
0318 127.0.0.1 PASS - 530
...
0324 127.0.0.1 PASS - 230  (登入成功)

可見入侵者嘗試多組帳號密碼，最終以 administrator 登入成功。管理員應立即更改密碼或重新命名帳號。

WWW 日誌

#Fields: date time c-ip cs-username s-ip s-port cs-method cs-uri-stem sc-status cs(User-Agent)
20001023 03:091 192.168.1.26 - 192.168.1.37 80 GET /iisstart.asp 200 Mozilla/4.0 (MSIE 5.0; Windows 98)

可分析訪客 IP、請求頁面、瀏覽器資訊，結合安全性日誌鎖定入侵者。

四、日誌刪除實戰

1. 可直接刪除的日誌 (FTP、WWW、Scheduler)

net stop "Task Scheduler"   (會連帶停止相依服務)
del schedlgu.txt
del %systemroot%\system32\LogFiles\MSFTPSVC1\ex*.log
del %systemroot%\system32\LogFiles\W3SVC1\ex*.log

2. 受保護日誌 (安全性、系統、應用程式)

• Event Log 服務為關鍵服務，無法用 net stop 停止。
• 無第三方工具下，命令列無法刪除。
• 唯一官方方式：本機或遠端開啟「事件檢視器」→ 右鍵日誌 → 「屬性」 → 「清除日誌」。
• 遠端操作極慢（圖形介面 + 網路延遲），需耐心等待。

五、總結與警語

• FTP/WWW/Scheduler 日誌易清除；安全性/系統日誌受核心服務保護，清除困難。
• 聰明管理員會將日誌移至其他位置，追蹤難度更高。
• 切勿拿國內主機測試入侵，日誌會記錄你的 IP 與行為，極易被追溯。