![](https://csdnimg.cn/release/download_crawler_static/87235529/bg12.jpg)
板】窗口中,打开事件记录窗口,从中对服务器日志进行手工清除。
具体的实现方法如下:
(1)入侵者先用 IPC$连接过去之后,在远程主机的【控制面板】窗口中,双击【管理工
具】图标项打开【管理工具】窗口。
(2)双击其中的【计算机管理】图标项,即可打开【计算机管理】窗口.
(3)展开【计算机管理(本地)】→【系统工具】→【事件查看器】选项之后,打开事
件记录窗格,其中的事件日志分为三类:“应用程序”日志、“安全性"日志及“系统"日志,如
图 12-10 所示.
(4)这三类日志分别记录不同种类的事件,右击相应日志,在弹出的快捷菜单中选择【清
除】菜单项,即可清除指定日志。
(5)如果入侵者想做得更干净一点,则可以在【计算机管理】窗口的左窗格中展开【计
算机管理(本地)】→【服务和应用程序】→【服务】选项,再在其右窗格中找到“Event
Log”服务,并把该服务禁用,如图所示。
经过上述设置之后,用户只要重新启动了系统,该主机/服务器就不会对任何操作进行
日志记录了.
四、课程设计结果:
出现的问题及解决方法:
1、在进行帐号克隆和清除日志时经常会遇到到空连接和 ipc$连接,它们区别在哪里?
解答:在进行帐号克隆和清除日志时都需要用到远程上传工具,这就用到了连接,其中最
常用的就是空连接和 ipc$连接,可以从概念和访问方式上对其进行区分.
空连接是指在没有信任的情况下与服务器建立的会话,即它是一个到服务器的匿名访问,
不需要用户名和密码。
而 IPC$连接是为了让进程间通信而开放的命名管道,可以通过验证用户名和密码获得
相应的权 限,有许多的远程工具必须用到 IPC$连接, 如使用命 令“net use \\IP\ipc$
“"/user:“””就可以简单地和目标主机建立一个空连接(需要目标开放 ipc$).
2、在克隆帐号时,需要对注册表中用于存放帐号所有属性的 SAM 键值进行访问,但在手
动克隆帐号时却会出现无法访问 SAM 键的情况,该怎样解决?
解答:当出现手动克隆无法访问注册表 SAM 键时,在图形界面下,可以在【注册表编
辑器】窗口中,右击\HKEY_LOCAL_MACHINE\SAM 子项之后,在弹出的快捷菜单中选择
【权限】菜单项,在打开的【SAM 的权限】对话框中将 administrator 帐户属性设置为和
SYSTEM 一样有完全控制权限。这样,在关闭注册表编辑器之后再将其打开,就可以访问
SAM 键了。
另外,还可以在命令行方式下使用 psu 工具来获得 SYSTEM 权限,从而访问 SAM 键.