设为首页收藏本站
切换到宽版

电脑疯子技术论坛|电脑极客社区

 找回密码
 注册

QQ登录

只需一步，快速开始

电脑疯子技术论坛|电脑极客社区»技术论坛 › 电脑疯子|资源分享 › 电脑教程分享 › Qlog：动画功能强大的Windows安全工具
返回列表 发新帖

[网络安全] Qlog：动画功能强大的Windows安全工具

[复制链接]
zhaorong 发表于 2021-10-22 16:15:49 | 显示全部楼层 |阅读模式
关于Qlog

Qlog日志是具有假冒功能的Windows安全工具工具，该工具可以为Windows上的安全相关事件提供特定事件日志记录功能
该工具是否存在，还可以积极开发状态 当前版本为Alpha版本。Qlog没有使用API 钩子技术，也不需要在目标系统上安装驱
动程序 Qlog 指挥使用ETW 检索遥测数据。版本的Qlog 仅支持 当前事件创建 事件 以后可以添加更多详细的事件支持Qlog
可以作为查看Windows 服务运行。但也可以在启用模式下。因此我们可以将具体的事件信息直接传输到操作运行处理。

工作机制

Qlog 可以从 ETW 读取数据 将详细的事件信息写入 Qlog 的事件记录 工具会创建并使用称为QMonitor
的新源并写入 Windows 事件日志中。

以下是Qlog的事件处理顺序：
创建ETW会话，并订阅相关核心和用户区ETW提供者；

从ETW提供程序读取事件；

重大的事件支持；

将主要的事件发生记录日志QLOG；

工具依赖&安装&使用

Qlog的运行需要在本地系统中安装并配置好.NET Framework >= 4.7.2环境。

接下来，我们需要使用以下命令项目克隆至本地：
git 克隆 https://github.com/threathunters-io/QLOG.git

接下来，我们可以使用下面的命令，以外观终端模式运行Qlog：
日志文件

或者，以Windows服务的方式运行：
#安装服务

qlog.exe -i

#卸服务

qlog.exe -u

进程处理事件数据输出
  1. {

  3.   "EventGuid": "68795fe8-67e7-410b-a5c0-8364746d7ffe",

  5.   "开始时间": "2021-07-11T11:06:56.9621746+02:00",

  7.   "QEventID": 100,

  9.   "QType": "进程创建",

  11.   "用户名": "TESTOS\\TESTUSER",

  13.   "Imagefilename": "TEAMS.EXE",

  15.   "KernelImagefilename": "TEAMS.EXE",

  17.   "OriginalFilename": "TEAMS.EXE",

  19.   "Fullpath": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe",

  21.   “PID”：21740，

  23.   "命令行": ""C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe" --type=ren
  24. derer --autoplay-policy=no- user-gesture-required --disable-background-timer-throttling --field-trial-han
  25. dle=1668,499009601563875864,12511830007210419647,131072 --enable-features=WebComponentsV0P
  26. rocessEnabled,CookieMuseSpauseSpameSperangeS --disableSwith-features,499009601563875864,125118
  27. 30007210419647,131072 =de --enable-wer --ms-teams-less-cors=522133263 --app-user-model-id=com.
  28. squirrel.Teams.Teams --app-path="C:\\Users\\乔克",

  30.   “模块数”：41，

  32.   "TTPHash": "42AC63285408F5FD91668B16F8E9157FD97046AB63E84117A14E31A188DDC62F",

  34.   "Imphash": "F14F00FA1D4C82B933279C1A28957252",

  36.   "sha256": "155625190ECAA90E596CB258A07382184DB738F6EDB626FEE4B9652FA4EC1CC2",

  38.   "md5": "9453BC2A9CC489505320312F4E6EC21E",

  40.   "sha1": "7219CB54AC535BA55BC1B202335A6291FDC2D76E",

  42.   "ProcessIntegrityLevel": "无",

  44.   “isOndisk”：真，

  46.   “正在运行”：真，

  48.   "Signed": "签名有效",

  50.   "AuthenticodeHash": "B8AD58EE5C35B3F80C026A318EEA34BABF6609C077CB3D45AEE69BF5C9CF8E11",

  52.   “签名”：[

  54.     {

  56.       “主题”：“CN=微软公司，O=微软公司，L=雷德蒙德，S=华盛顿，C=美国”，

  58.       "Issuer": "CN=Microsoft Code Signing PCA 2010, O=Microsoft Corpor
  59. ation, L=Redmond, S=Washington, C=US",

  61.       "NotBefore": "15.12.2020 22:24:20",

  63.       "NotAfter": "02.12.2021 22:24:20",

  65.       "DigestAlgorithmName": "SHA256",

  67.       "指纹": "E8C15B4C98AD91E051EE5AF5F524A8729050B2A2",

  69.       “时间戳签名”：[

  71.         {

  73.           "主题": "CN=微软时间戳服务，OU=Thales TSS ESN:3BBD-E338-E9A1，OU=微软美国
  74. 运营，O=微软公司，L=雷德蒙德，S=华盛顿，C=美国",

  76.           "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corpora
  77. tion, L=Redmond, S=Washington, C=US",

  79.           "NotBefore": "12.11.2020 19:26:02",

  81.           "NotAfter": "11.02.2022 19:26:02",

  83.           "DigestAlgorithmName": "SHA256",

  85.           "指纹": "E8220CE2AAD2073A9C8CD78752775E29782AABE8",

  87.           “时间戳”：“15.06.2021 00:39:50 +02:00”

  89.         }

  91.       ]

  93.     },

  95.     {

  97.       “主题”：“CN=微软公司，O=微软公司，L=雷德蒙德，S=华盛顿，C=美国”，

  99.       "Issuer": "CN=Microsoft Code Signing PCA 2011, O=Microsoft Corporation, L=Re
  100. dmond, S=Washington, C=US",

  102.       "NotBefore": "15.12.2020 22:31:47",

  104.       "NotAfter": "02.12.2021 22:31:47",

  106.       "DigestAlgorithmName": "SHA256",

  108.       "指纹": "C774204049D25D30AF9AC2F116B3C1FB88EE00A4",

  110.       “时间戳签名”：[

  112.         {

  114.           "Subject": "CN=Microsoft 时间戳服务，OU=Thales TSS ESN:F87A-E374-D7B9，OU=Microsoft Operati
  115. ons Puerto Rico，O=Microsoft Corporation，L=Redmond，S=Washington，C=US"，

  117.           "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corpo
  118. ation, L=Redmond, S=Washington, C=US",

  120.           "NotBefore": "14.01.2021 20:02:23",

  122.           "NotAfter": "11.04.2022 21:02:23",

  124.           "DigestAlgorithmName": "SHA256",

  126.           "指纹": "ED2C601EDD49DD2A934D2AB32DCACC19940161EF",

  128.           “时间戳”：“15.06.2021 00:39:53 +02:00”

  130.         }

  132.       ]

  134.     }

  136.   ],

  138.   “父进程”：{

  140.     “EventGuid”：空，

  142.     "开始时间": "2021-07-11T09:54:28.9558001+02:00",

  144.     "QEventID": 100,

  146.     "QType": "进程创建",

  148.     "用户名": "TEST-OS\\TESTUSER",

  150.     "图像文件名": "",

  152.     "内核映像文件名": "",

  154.     "OriginalFilename": "TEAMS.EXE",

  156.     "Fullpath": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe",

  158.     “PID”：16232，

  160.     "命令行": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe ",

  162.     “模块数”：162，

  164.     "TTPHash": "",

  166.     "Imphash": "F14F00FA1D4C82B933279C1A28957252",

  168.     "sha256": "155625190ECAA90E596CB258A07382184DB738F6EDB626FEE4B9652FA4EC1CC2",

  170.     "md5": "9453BC2A9CC489505320312F4E6EC21E",

  172.     "sha1": "7219CB54AC535BA55BC1B202335A6291FDC2D76E",

  174.     "ProcessIntegrityLevel": "中",

  176.     “isOndisk”：真，

  178.     “正在运行”：真，

  180.     "Signed": "签名有效",

  182.     "AuthenticodeHash": "B8AD58EE5C35B3F80C026A318EEA34BABF
  183. 6609C077CB3D45AEE69BF5C9CF8E11",

  185.     “签名”：[

  187.       {

  189.         “主题”：“CN=微软公司，O=微软公司，L=雷德蒙德，S=华盛顿，C=美国”

  191.         "Issuer": "CN=Microsoft Code Signing PCA 2010, O=Microsoft Cor
  192. poration, L=Redmond, S=Washington, C=US",

  194.         "NotBefore": "15.12.2020 22:24:20",

  196.         "NotAfter": "02.12.2021 22:24:20",

  198.         "DigestAlgorithmName": "SHA256",

  200.         "指纹": "E8C15B4C98AD91E051EE5AF5F524A8729050B2A2",

  202.         “时间戳签名”：[

  204.           {

  206.             "主题": "CN=微软时间戳服务，OU=Thales TSS ESN:3BBD-E338-E9A1，OU=微软美
  207. 国运营，O=微软公司，L=雷德蒙德，S=华盛顿，C=美国",

  209.             "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corpor
  210. ation, L=Redmond, S=Washington, C=US",

  212.             "NotBefore": "12.11.2020 19:26:02",

  214.             "NotAfter": "11.02.2022 19:26:02",

  216.             "DigestAlgorithmName": "SHA256",

  218.             "指纹": "E8220CE2AAD2073A9C8CD78752775E29782AABE8",

  220.             “时间戳”：“15.06.2021 00:39:50 +02:00”

  222.           }

  224.         ]

  226.       },

  228.       {

  230.         “主题”：“CN=微软公司，O=微软公司，L=雷德蒙德，S=华盛顿，C=美国”，

  232.         "Issuer": "CN=Microsoft Code Signing PCA 2011, O=Microsoft Corp
  233. oration, L=Redmond, S=Washington, C=US",

  235.         "NotBefore": "15.12.2020 22:31:47",

  237.         "NotAfter": "02.12.2021 22:31:47",

  239.         "DigestAlgorithmName": "SHA256",

  241.         "指纹": "C774204049D25D30AF9AC2F116B3C1FB88EE00A4",

  243.         “时间戳签名”：[

  245.           {

  247.             "Subject": "CN=Microsoft 时间戳服务，OU=Thales TSS ESN:F87A-E374-D7B9，OU=Microso
  248. ft Operations Puerto Rico，O=Microsoft Corporation，L=Redmond，S=Washington，C=US",

  250.             "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corp
  251. oration, L=Redmond, S=Washington, C=US",

  253.             "NotBefore": "14.01.2021 20:02:23",

  255.             "NotAfter": "11.04.2022 21:02:23",

  257.             "DigestAlgorithmName": "SHA256",

  259.             "指纹": "ED2C601EDD49DD2A934D2AB32DCACC19940161EF",

  261.             “时间戳”：“15.06.2021 00:39:53 +02:00”

  263.           }

  265.         ]

  267.       }

  269.     ],

  271.     “父进程”：null

  273.   }

  275. }
复制代码
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册

本版积分规则

手机版|小黑屋|VIP|电脑疯子技术论坛 ( Computer madman team )

GMT+8, 2025-3-14 04:59

Powered by Discuz! X3.4

Copyright © 2001-2023, Tencent Cloud.

快速回复 返回顶部 返回列表