Qlog：一款功能强大的Windows安全日志工具

关于Qlog

Qlog是一款功能强大的Windows安全日志工具，该工具可以为Windows操作系统上的安全相关事件提供丰富的事件日志记录功能。该工具目前仍处于积极开发状态，当前版本为Alpha版本。Qlog没有使用API钩子技术，也不需要在目标系统上安装驱动程序，Qlog指挥使用ETW检索遥测数据。当前版本的Qlog仅支持“进程创建”事件，之后还会添加更多丰富的事件支持。Qlog可以看作为Windows服务运行，但也可以在控制台模式下运行，因此我们可以将丰富的事件信息直接传输到控制台进行处理。

网站建设哪家好，找创新互联建站！专注于网页设计、网站建设、微信开发、微信小程序开发、集团企业网站建设等服务项目。为回馈新老客户创新互联还提供了平罗免费建站欢迎大家使用！

工作机制

Qlog可以从ETW读取数据，并将丰富的事件信息写入Qlog的事件通道，工具将会创建并使用名为“QMonitor”的新事件源，并写入Windows事件日志中。

以下是Qlog的事件处理顺序：

  • 创建ETW会话，并订阅相关内核和用户区ETW Provider;
  • 从ETW提供程序读取事件;
  • 丰富的事件支持;
  • 将丰富的事件写入事件日志通道QLOG;

工具依赖&安装&使用

Qlog的运行需要在本地系统中安装并配置好.NET Framework >= 4.7.2环境。

接下来，我们需要使用下列命令将该项目克隆至本地：

 
 
    
  
  
  1. git clone https://github.com/threathunters-io/QLOG.git 
    2.

接下来，我们可以使用下列命令以交互式终端模式运行Qlog：

 
 
    
  
  
  1. qlog.exe 
    2.

或者，以Windows服务的方式运行：

 
 
    
  
  
  1. #安装服务 
    2. 
  
  
  2.  
    3. 
  
  
  3. qlog.exe -i 
    4. 
  
  
  4.  
    5. 
  
  
  5. #卸载服务 
    6. 
  
  
  6.  
    7. 
  
  
  7. qlog.exe -u 
    8.

进程处理事件数据输出

 
 
    
  
  
  1. { 
    2. 
  
  
  2.  
    3. 
  
  
  3.   "EventGuid": "68795fe8-67e7-410b-a5c0-8364746d7ffe", 
    4. 
  
  
  4.  
    5. 
  
  
  5.   "StartTime": "2021-07-11T11:06:56.9621746+02:00", 
    6. 
  
  
  6.  
    7. 
  
  
  7.   "QEventID": 100, 
    8. 
  
  
  8.  
    9. 
  
  
  9.   "QType": "Process Create", 
    10. 
  
  
  10.  
    11. 
  
  
  11.   "Username": "TESTOS\\TESTUSER", 
    12. 
  
  
  12.  
    13. 
  
  
  13.   "Imagefilename": "TEAMS.EXE", 
    14. 
  
  
  14.  
    15. 
  
  
  15.   "KernelImagefilename": "TEAMS.EXE", 
    16. 
  
  
  16.  
    17. 
  
  
  17.   "OriginalFilename": "TEAMS.EXE", 
    18. 
  
  
  18.  
    19. 
  
  
  19.   "Fullpath": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe", 
    20. 
  
  
  20.  
    21. 
  
  
  21.   "PID": 21740, 
    22. 
  
  
  22.  
    23. 
  
  
  23.   "Commandline": "\"C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe\" --type=renderer --autoplay-policy=no-user-gesture-required --disable-background-timer-throttling --field-trial-handle=1668,499009601563875864,12511830007210419647,131072 --enable-features=WebComponentsV0Enabled --disable-features=CookiesWithoutSameSiteMustBeSecure,SameSiteByDefaultCookies,SpareRendererForSitePerProcess --lang=de --enable-wer --ms-teams-less-cors=522133263 --app-user-model-id=com.squirrel.Teams.Teams --app-path=\"C:\\Users\\jocke", 
    24. 
  
  
  24.  
    25. 
  
  
  25.   "Modulecount": 41, 
    26. 
  
  
  26.  
    27. 
  
  
  27.   "TTPHash": "42AC63285408F5FD91668B16F8E9157FD97046AB63E84117A14E31A188DDC62F", 
    28. 
  
  
  28.  
    29. 
  
  
  29.   "Imphash": "F14F00FA1D4C82B933279C1A28957252", 
    30. 
  
  
  30.  
    31. 
  
  
  31.   "sha256": "155625190ECAA90E596CB258A07382184DB738F6EDB626FEE4B9652FA4EC1CC2", 
    32. 
  
  
  32.  
    33. 
  
  
  33.   "md5": "9453BC2A9CC489505320312F4E6EC21E", 
    34. 
  
  
  34.  
    35. 
  
  
  35.   "sha1": "7219CB54AC535BA55BC1B202335A6291FDC2D76E", 
    36. 
  
  
  36.  
    37. 
  
  
  37.   "ProcessIntegrityLevel": "None", 
    38. 
  
  
  38.  
    39. 
  
  
  39.   "isOndisk": true, 
    40. 
  
  
  40.  
    41. 
  
  
  41.   "isRunning": true, 
    42. 
  
  
  42.  
    43. 
  
  
  43.   "Signed": "Signature valid", 
    44. 
  
  
  44.  
    45. 
  
  
  45.   "AuthenticodeHash": "B8AD58EE5C35B3F80C026A318EEA34BABF6609C077CB3D45AEE69BF5C9CF8E11", 
    46. 
  
  
  46.  
    47. 
  
  
  47.   "Signatures": [ 
    48. 
  
  
  48.  
    49. 
  
  
  49.     { 
    50. 
  
  
  50.  
    51. 
  
  
  51.       "Subject": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    52. 
  
  
  52.  
    53. 
  
  
  53.       "Issuer": "CN=Microsoft Code Signing PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    54. 
  
  
  54.  
    55. 
  
  
  55.       "NotBefore": "15.12.2020 22:24:20", 
    56. 
  
  
  56.  
    57. 
  
  
  57.       "NotAfter": "02.12.2021 22:24:20", 
    58. 
  
  
  58.  
    59. 
  
  
  59.       "DigestAlgorithmName": "SHA256", 
    60. 
  
  
  60.  
    61. 
  
  
  61.       "Thumbprint": "E8C15B4C98AD91E051EE5AF5F524A8729050B2A2", 
    62. 
  
  
  62.  
    63. 
  
  
  63.       "TimestampSignatures": [ 
    64. 
  
  
  64.  
    65. 
  
  
  65.         { 
    66. 
  
  
  66.  
    67. 
  
  
  67.           "Subject": "CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:3BBD-E338-E9A1, OU=Microsoft America Operations, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    68. 
  
  
  68.  
    69. 
  
  
  69.           "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    70. 
  
  
  70.  
    71. 
  
  
  71.           "NotBefore": "12.11.2020 19:26:02", 
    72. 
  
  
  72.  
    73. 
  
  
  73.           "NotAfter": "11.02.2022 19:26:02", 
    74. 
  
  
  74.  
    75. 
  
  
  75.           "DigestAlgorithmName": "SHA256", 
    76. 
  
  
  76.  
    77. 
  
  
  77.           "Thumbprint": "E8220CE2AAD2073A9C8CD78752775E29782AABE8", 
    78. 
  
  
  78.  
    79. 
  
  
  79.           "Timestamp": "15.06.2021 00:39:50 +02:00" 
    80. 
  
  
  80.  
    81. 
  
  
  81.         } 
    82. 
  
  
  82.  
    83. 
  
  
  83.       ] 
    84. 
  
  
  84.  
    85. 
  
  
  85.     }, 
    86. 
  
  
  86.  
    87. 
  
  
  87.     { 
    88. 
  
  
  88.  
    89. 
  
  
  89.       "Subject": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    90. 
  
  
  90.  
    91. 
  
  
  91.       "Issuer": "CN=Microsoft Code Signing PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    92. 
  
  
  92.  
    93. 
  
  
  93.       "NotBefore": "15.12.2020 22:31:47", 
    94. 
  
  
  94.  
    95. 
  
  
  95.       "NotAfter": "02.12.2021 22:31:47", 
    96. 
  
  
  96.  
    97. 
  
  
  97.       "DigestAlgorithmName": "SHA256", 
    98. 
  
  
  98.  
    99. 
  
  
  99.       "Thumbprint": "C774204049D25D30AF9AC2F116B3C1FB88EE00A4", 
    100. 
  
  
  100.  
    101. 
  
  
  101.       "TimestampSignatures": [ 
    102. 
  
  
  102.  
    103. 
  
  
  103.         { 
    104. 
  
  
  104.  
    105. 
  
  
  105.           "Subject": "CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:F87A-E374-D7B9, OU=Microsoft Operations Puerto Rico, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    106. 
  
  
  106.  
    107. 
  
  
  107.           "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    108. 
  
  
  108.  
    109. 
  
  
  109.           "NotBefore": "14.01.2021 20:02:23", 
    110. 
  
  
  110.  
    111. 
  
  
  111.           "NotAfter": "11.04.2022 21:02:23", 
    112. 
  
  
  112.  
    113. 
  
  
  113.           "DigestAlgorithmName": "SHA256", 
    114. 
  
  
  114.  
    115. 
  
  
  115.           "Thumbprint": "ED2C601EDD49DD2A934D2AB32DCACC19940161EF", 
    116. 
  
  
  116.  
    117. 
  
  
  117.           "Timestamp": "15.06.2021 00:39:53 +02:00" 
    118. 
  
  
  118.  
    119. 
  
  
  119.         } 
    120. 
  
  
  120.  
    121. 
  
  
  121.       ] 
    122. 
  
  
  122.  
    123. 
  
  
  123.     } 
    124. 
  
  
  124.  
    125. 
  
  
  125.   ], 
    126. 
  
  
  126.  
    127. 
  
  
  127.   "ParentProcess": { 
    128. 
  
  
  128.  
    129. 
  
  
  129.     "EventGuid": null, 
    130. 
  
  
  130.  
    131. 
  
  
  131.     "StartTime": "2021-07-11T09:54:28.9558001+02:00", 
    132. 
  
  
  132.  
    133. 
  
  
  133.     "QEventID": 100, 
    134. 
  
  
  134.  
    135. 
  
  
  135.     "QType": "Process Create", 
    136. 
  
  
  136.  
    137. 
  
  
  137.     "Username": "TEST-OS\\TESTUSER", 
    138. 
  
  
  138.  
    139. 
  
  
  139.     "Imagefilename": "", 
    140. 
  
  
  140.  
    141. 
  
  
  141.     "KernelImagefilename": "", 
    142. 
  
  
  142.  
    143. 
  
  
  143.     "OriginalFilename": "TEAMS.EXE", 
    144. 
  
  
  144.  
    145. 
  
  
  145.     "Fullpath": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe", 
    146. 
  
  
  146.  
    147. 
  
  
  147.     "PID": 16232, 
    148. 
  
  
  148.  
    149. 
  
  
  149.     "Commandline": "C:\\Users\\TESTUSER\\AppData\\Local\\Microsoft\\Teams\\current\\Teams.exe ", 
    150. 
  
  
  150.  
    151. 
  
  
  151.     "Modulecount": 162, 
    152. 
  
  
  152.  
    153. 
  
  
  153.     "TTPHash": "", 
    154. 
  
  
  154.  
    155. 
  
  
  155.     "Imphash": "F14F00FA1D4C82B933279C1A28957252", 
    156. 
  
  
  156.  
    157. 
  
  
  157.     "sha256": "155625190ECAA90E596CB258A07382184DB738F6EDB626FEE4B9652FA4EC1CC2", 
    158. 
  
  
  158.  
    159. 
  
  
  159.     "md5": "9453BC2A9CC489505320312F4E6EC21E", 
    160. 
  
  
  160.  
    161. 
  
  
  161.     "sha1": "7219CB54AC535BA55BC1B202335A6291FDC2D76E", 
    162. 
  
  
  162.  
    163. 
  
  
  163.     "ProcessIntegrityLevel": "Medium", 
    164. 
  
  
  164.  
    165. 
  
  
  165.     "isOndisk": true, 
    166. 
  
  
  166.  
    167. 
  
  
  167.     "isRunning": true, 
    168. 
  
  
  168.  
    169. 
  
  
  169.     "Signed": "Signature valid", 
    170. 
  
  
  170.  
    171. 
  
  
  171.     "AuthenticodeHash": "B8AD58EE5C35B3F80C026A318EEA34BABF6609C077CB3D45AEE69BF5C9CF8E11", 
    172. 
  
  
  172.  
    173. 
  
  
  173.     "Signatures": [ 
    174. 
  
  
  174.  
    175. 
  
  
  175.       { 
    176. 
  
  
  176.  
    177. 
  
  
  177.         "Subject": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    178. 
  
  
  178.  
    179. 
  
  
  179.         "Issuer": "CN=Microsoft Code Signing PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    180. 
  
  
  180.  
    181. 
  
  
  181.         "NotBefore": "15.12.2020 22:24:20", 
    182. 
  
  
  182.  
    183. 
  
  
  183.         "NotAfter": "02.12.2021 22:24:20", 
    184. 
  
  
  184.  
    185. 
  
  
  185.         "DigestAlgorithmName": "SHA256", 
    186. 
  
  
  186.  
    187. 
  
  
  187.         "Thumbprint": "E8C15B4C98AD91E051EE5AF5F524A8729050B2A2", 
    188. 
  
  
  188.  
    189. 
  
  
  189.         "TimestampSignatures": [ 
    190. 
  
  
  190.  
    191. 
  
  
  191.           { 
    192. 
  
  
  192.  
    193. 
  
  
  193.             "Subject": "CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:3BBD-E338-E9A1, OU=Microsoft America Operations, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    194. 
  
  
  194.  
    195. 
  
  
  195.             "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    196. 
  
  
  196.  
    197. 
  
  
  197.             "NotBefore": "12.11.2020 19:26:02", 
    198. 
  
  
  198.  
    199. 
  
  
  199.             "NotAfter": "11.02.2022 19:26:02", 
    200. 
  
  
  200.  
    201. 
  
  
  201.             "DigestAlgorithmName": "SHA256", 
    202. 
  
  
  202.  
    203. 
  
  
  203.             "Thumbprint": "E8220CE2AAD2073A9C8CD78752775E29782AABE8", 
    204. 
  
  
  204.  
    205. 
  
  
  205.             "Timestamp": "15.06.2021 00:39:50 +02:00" 
    206. 
  
  
  206.  
    207. 
  
  
  207.           } 
    208. 
  
  
  208.  
    209. 
  
  
  209.         ] 
    210. 
  
  
  210.  
    211. 
  
  
  211.       }, 
    212. 
  
  
  212.  
    213. 
  
  
  213.       { 
    214. 
  
  
  214.  
    215. 
  
  
  215.         "Subject": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    216. 
  
  
  216.  
    217. 
  
  
  217.         "Issuer": "CN=Microsoft Code Signing PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    218. 
  
  
  218.  
    219. 
  
  
  219.         "NotBefore": "15.12.2020 22:31:47", 
    220. 
  
  
  220.  
    221. 
  
  
  221.         "NotAfter": "02.12.2021 22:31:47", 
    222. 
  
  
  222.  
    223. 
  
  
  223.         "DigestAlgorithmName": "SHA256", 
    224. 
  
  
  224.  
    225. 
  
  
  225.         "Thumbprint": "C774204049D25D30AF9AC2F116B3C1FB88EE00A4", 
    226. 
  
  
  226.  
    227. 
  
  
  227.         "TimestampSignatures": [ 
    228. 
  
  
  228.  
    229. 
  
  
  229.           { 
    230. 
  
  
  230.  
    231. 
  
  
  231.             "Subject": "CN=Microsoft Time-Stamp Service, OU=Thales TSS ESN:F87A-E374-D7B9, OU=Microsoft Operations Puerto Rico, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    232. 
  
  
  232.  
    233. 
  
  
  233.             "Issuer": "CN=Microsoft Time-Stamp PCA 2010, O=Microsoft Corporation, L=Redmond, S=Washington, C=US", 
    234. 
  
  
  234.  
    235. 
  
  
  235.             "NotBefore": "14.01.2021 20:02:23", 
    236. 
  
  
  236.  
    237. 
  
  
  237.             "NotAfter": "11.04.2022 21:02:23", 
    238. 
  
  
  238.  
    239. 
  
  
  239.             "DigestAlgorithmName": "SHA256", 
    240. 
  
  
  240.  
    241. 
  
  
  241.             "Thumbprint": "ED2C601EDD49DD2A934D2AB32DCACC19940161EF", 
    242. 
  
  
  242.  
    243. 
  
  
  243.             "Timestamp": "15.06.2021 00:39:53 +02:00" 
    244. 
  
  
  244.  
    245. 
  
  
  245.           } 
    246. 
  
  
  246.  
    247. 
  
  
  247.         ] 
    248. 
  
  
  248.  
    249. 
  
  
  249.       } 
    250. 
  
  
  250.  
    251. 
  
  
  251.     ], 
    252. 
  
  
  252.  
    253. 
  
  
  253.     "ParentProcess": null 
    254. 
  
  
  254.  
    255. 
  
  
  255.   } 
    256. 
  
  
  256.  
    257. 
  
  
  257. } 
    258.

项目地址

Qlog：【GitHub传送门】

参考资料：https://threathunters.io/

本文题目：Qlog：一款功能强大的Windows安全日志工具
本文网址：http://www.mswzjz.cn/qtweb/news17/32867.html

攀枝花网站建设、攀枝花网站运维推广公司-贝锐智能，是专注品牌与效果的网络营销公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 贝锐智能

贝锐智能技术为您推荐以下文章

服务器托管知识

各行业网站

网站推广　　 　成都网站维护公司　　 　广元双南建站　　 　成都包装设计公司　　 　网页改版　　 　成发金汇　　 　成都网站推广　　 　酒柜书柜鞋柜定制　　 　做网站　　 　腾讯云免备案主机　　 　营山产后修复　　 　德阳服务器托管　　 　软文推广　　 　app开发公司　　 　成都LED照明　　 　成都包装设计公司　　 　网站优化排名推广　　 　联通服务器托管　　 　普特斯腐植酸　　 　双流能亿建站