首页 安全产品 正文
我要投稿

Qlog：一款功能强大的Windows安全日志工具

安全产品
2025-05-26 0 72
也想出现在这里？点击联系我~

关于Qlog

Qlog是一款功能强大的Windows安全日志工具，该工具可以为Windows操作系统上的安全相关事件提供丰富的事件日志记录功能。该工具目前仍处于积极开发状态，当前版本为Alpha版本。Qlog没有使用API钩子技术，也不需要在目标系统上安装驱动程序，Qlog指挥使用ETW检索遥测数据。当前版本的Qlog仅支持“进程创建”事件，之后还会添加更多丰富的事件支持。Qlog可以看作为Windows服务运行，但也可以在控制台模式下运行，因此我们可以将丰富的事件信息直接传输到控制台进行处理。

Qlog：一款功能强大的Windows安全日志工具

工作机制

Qlog可以从ETW读取数据，并将丰富的事件信息写入Qlog的事件通道，工具将会创建并使用名为“QMonitor”的新事件源，并写入Windows事件日志中。

以下是Qlog的事件处理顺序：

  • 创建ETW会话，并订阅相关内核和用户区ETW Provider;
  • 从ETW提供程序读取事件;
  • 丰富的事件支持;
  • 将丰富的事件写入事件日志通道QLOG;

工具依赖&安装&使用

Qlog的运行需要在本地系统中安装并配置好.NET Framework >= 4.7.2环境。

接下来，我们需要使用下列命令将该项目克隆至本地：

  1. gitclonehttps://github.com/threathunters-io/QLOG.git

接下来，我们可以使用下列命令以交互式终端模式运行Qlog：

  1. qlog.exe

或者，以Windows服务的方式运行：

  1. #安装服务
  3. qlog.exe-i
  5. #卸载服务
  7. qlog.exe-u

进程处理事件数据输出

  1. {
  3. "EventGuid":"68795fe8-67e7-410b-a5c0-8364746d7ffe",
  5. "StartTime":"2021-07-11T11:06:56.9621746+02:00",
  7. "QEventID":100,
  9. "QType":"ProcessCreate",
  11. "Username":"TESTOS\\\\TESTUSER",
  13. "Imagefilename":"TEAMS.EXE",
  15. "KernelImagefilename":"TEAMS.EXE",
  17. "OriginalFilename":"TEAMS.EXE",
  19. "Fullpath":"C:\\\\Users\\\\TESTUSER\\\\AppData\\\\Local\\\\Microsoft\\\\Teams\\\\current\\\\Teams.exe",
  21. "PID":21740,
  23. "Commandline":"\\"C:\\\\Users\\\\TESTUSER\\\\AppData\\\\Local\\\\Microsoft\\\\Teams\\\\current\\\\Teams.exe\\"–type=renderer–autoplay-policy=no-user-gesture-required–disable-background-timer-throttling–field-trial-handle=1668,499009601563875864,12511830007210419647,131072–enable-features=WebComponentsV0Enabled–disable-features=CookiesWithoutSameSiteMustBeSecure,SameSiteByDefaultCookies,SpareRendererForSitePerProcess–lang=de–enable-wer–ms-teams-less-cors=522133263–app-user-model-id=com.squirrel.Teams.Teams–app-path=\\"C:\\\\Users\\\\jocke",
  25. "Modulecount":41,
  27. "TTPHash":"42AC63285408F5FD91668B16F8E9157FD97046AB63E84117A14E31A188DDC62F",
  29. "Imphash":"F14F00FA1D4C82B933279C1A28957252",
  31. "sha256":"155625190ECAA90E596CB258A07382184DB738F6EDB626FEE4B9652FA4EC1CC2",
  33. "md5":"9453BC2A9CC489505320312F4E6EC21E",
  35. "sha1":"7219CB54AC535BA55BC1B202335A6291FDC2D76E",
  37. "ProcessIntegrityLevel":"None",
  39. "isOndisk":true,
  41. "isRunning":true,
  43. "Signed":"Signaturevalid",
  45. "AuthenticodeHash":"B8AD58EE5C35B3F80C026A318EEA34BABF6609C077CB3D45AEE69BF5C9CF8E11",
  47. "Signatures":[
  49. {
  51. "Subject":"CN=MicrosoftCorporation,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  53. "Issuer":"CN=MicrosoftCodeSigningPCA2010,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  55. "NotBefore":"15.12.202022:24:20",
  57. "NotAfter":"02.12.202122:24:20",
  59. "DigestAlgorithmName":"SHA256",
  61. "Thumbprint":"E8C15B4C98AD91E051EE5AF5F524A8729050B2A2",
  63. "TimestampSignatures":[
  65. {
  67. "Subject":"CN=MicrosoftTime-StampService,OU=ThalesTSSESN:3BBD-E338-E9A1,OU=MicrosoftAmericaOperations,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  69. "Issuer":"CN=MicrosoftTime-StampPCA2010,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  71. "NotBefore":"12.11.202019:26:02",
  73. "NotAfter":"11.02.202219:26:02",
  75. "DigestAlgorithmName":"SHA256",
  77. "Thumbprint":"E8220CE2AAD2073A9C8CD78752775E29782AABE8",
  79. "Timestamp":"15.06.202100:39:50+02:00"
  81. }
  83. ]
  85. },
  87. {
  89. "Subject":"CN=MicrosoftCorporation,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  91. "Issuer":"CN=MicrosoftCodeSigningPCA2011,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  93. "NotBefore":"15.12.202022:31:47",
  95. "NotAfter":"02.12.202122:31:47",
  97. "DigestAlgorithmName":"SHA256",
  99. "Thumbprint":"C774204049D25D30AF9AC2F116B3C1FB88EE00A4",
  101. "TimestampSignatures":[
  103. {
  105. "Subject":"CN=MicrosoftTime-StampService,OU=ThalesTSSESN:F87A-E374-D7B9,OU=MicrosoftOperationsPuertoRico,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  107. "Issuer":"CN=MicrosoftTime-StampPCA2010,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  109. "NotBefore":"14.01.202120:02:23",
  111. "NotAfter":"11.04.202221:02:23",
  113. "DigestAlgorithmName":"SHA256",
  115. "Thumbprint":"ED2C601EDD49DD2A934D2AB32DCACC19940161EF",
  117. "Timestamp":"15.06.202100:39:53+02:00"
  119. }
  121. ]
  123. }
  125. ],
  127. "ParentProcess":{
  129. "EventGuid":null,
  131. "StartTime":"2021-07-11T09:54:28.9558001+02:00",
  133. "QEventID":100,
  135. "QType":"ProcessCreate",
  137. "Username":"TEST-OS\\\\TESTUSER",
  139. "Imagefilename":"",
  141. "KernelImagefilename":"",
  143. "OriginalFilename":"TEAMS.EXE",
  145. "Fullpath":"C:\\\\Users\\\\TESTUSER\\\\AppData\\\\Local\\\\Microsoft\\\\Teams\\\\current\\\\Teams.exe",
  147. "PID":16232,
  149. "Commandline":"C:\\\\Users\\\\TESTUSER\\\\AppData\\\\Local\\\\Microsoft\\\\Teams\\\\current\\\\Teams.exe",
  151. "Modulecount":162,
  153. "TTPHash":"",
  155. "Imphash":"F14F00FA1D4C82B933279C1A28957252",
  157. "sha256":"155625190ECAA90E596CB258A07382184DB738F6EDB626FEE4B9652FA4EC1CC2",
  159. "md5":"9453BC2A9CC489505320312F4E6EC21E",
  161. "sha1":"7219CB54AC535BA55BC1B202335A6291FDC2D76E",
  163. "ProcessIntegrityLevel":"Medium",
  165. "isOndisk":true,
  167. "isRunning":true,
  169. "Signed":"Signaturevalid",
  171. "AuthenticodeHash":"B8AD58EE5C35B3F80C026A318EEA34BABF6609C077CB3D45AEE69BF5C9CF8E11",
  173. "Signatures":[
  175. {
  177. "Subject":"CN=MicrosoftCorporation,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  179. "Issuer":"CN=MicrosoftCodeSigningPCA2010,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  181. "NotBefore":"15.12.202022:24:20",
  183. "NotAfter":"02.12.202122:24:20",
  185. "DigestAlgorithmName":"SHA256",
  187. "Thumbprint":"E8C15B4C98AD91E051EE5AF5F524A8729050B2A2",
  189. "TimestampSignatures":[
  191. {
  193. "Subject":"CN=MicrosoftTime-StampService,OU=ThalesTSSESN:3BBD-E338-E9A1,OU=MicrosoftAmericaOperations,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  195. "Issuer":"CN=MicrosoftTime-StampPCA2010,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  197. "NotBefore":"12.11.202019:26:02",
  199. "NotAfter":"11.02.202219:26:02",
  201. "DigestAlgorithmName":"SHA256",
  203. "Thumbprint":"E8220CE2AAD2073A9C8CD78752775E29782AABE8",
  205. "Timestamp":"15.06.202100:39:50+02:00"
  207. }
  209. ]
  211. },
  213. {
  215. "Subject":"CN=MicrosoftCorporation,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  217. "Issuer":"CN=MicrosoftCodeSigningPCA2011,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  219. "NotBefore":"15.12.202022:31:47",
  221. "NotAfter":"02.12.202122:31:47",
  223. "DigestAlgorithmName":"SHA256",
  225. "Thumbprint":"C774204049D25D30AF9AC2F116B3C1FB88EE00A4",
  227. "TimestampSignatures":[
  229. {
  231. "Subject":"CN=MicrosoftTime-StampService,OU=ThalesTSSESN:F87A-E374-D7B9,OU=MicrosoftOperationsPuertoRico,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  233. "Issuer":"CN=MicrosoftTime-StampPCA2010,O=MicrosoftCorporation,L=Redmond,S=Washington,C=US",
  235. "NotBefore":"14.01.202120:02:23",
  237. "NotAfter":"11.04.202221:02:23",
  239. "DigestAlgorithmName":"SHA256",
  241. "Thumbprint":"ED2C601EDD49DD2A934D2AB32DCACC19940161EF",
  243. "Timestamp":"15.06.202100:39:53+02:00"
  245. }
  247. ]
  249. }
  251. ],
  253. "ParentProcess":null
  255. }
  257. }

项目地址

Qlog：【GitHub传送门】

参考资料：https://threathunters.io/

原文链接：https://www.freebuf.com/articles/system/290653.html

收藏 (0) 打赏

感谢您的支持，我会继续努力的!

打开微信/支付宝扫一扫，即可进行扫码打赏哦，分享从这里开始，精彩与您同在
点赞 (0)

声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。

快网idc优惠网 安全产品 Qlog：一款功能强大的Windows安全日志工具 https://www.kuaiidc.com/56285.html

也想出现在这里？点击联系我~

相关文章

阿里云ECS服务器CentOS7上安装服务器安全狗Linux版
阿里云ECS服务器CentOS7上安装服务器安全狗Linux版
安全产品
4个月前 130
服务器被黑给我上了一课，由0到1轻松应对各式攻击！
服务器被黑给我上了一课，由0到1轻松应对各式攻击！
安全产品
4个月前 112
服务器安全管理都有哪些漏洞
服务器安全管理都有哪些漏洞
安全产品
4个月前 122
服务器安全狗怎么卸载 服务器安全狗卸载方法
服务器安全狗怎么卸载 服务器安全狗卸载方法
安全产品
4个月前 102
猜你喜欢
发表评论
暂无评论
TA的动态
快网idc优惠网

idc信息共同学习，共同进步，共同成长！

QQ交流群
快网idc优惠网

QQ交流群

您的支持，是我们最大的动力！
热门文章
热门评论
终身VIP会员限时钜惠
首页 SSL证书 菜单 论坛 问答