‘壹’ 如何保护Web服务器中日志安全
Web日志记录了web服务器接收处理请求，以及其运行时的错误等各种原始信息。通过对日志进行统计、分析、综合，就能有效地掌握服务器的运行状况，发现和排除错误、了解客户访问分布等，方便管理员更好地加强服务器的维护和管理。另外，Web日志也是判断服务器安全的一个重要依据，通过其可以分析判断服务器是否被入侵，并通过其可以对攻击者进行反向跟踪等。因此，对于Web日志攻击者往往以除之而后快。
一、攻击者清除日志的常用伎俩 1、Web服务器系统中的日志 以WindowsServer 2003平台的Web服务器为例，其日志包括：安全日志、系统日志、应用程序日志、WWW日志、FTP日志等。对于前面的三类日志可以通过“开始→运行”输入eventvwr.msc打开事件查看器进行查看，WWW日志和FTP日志以log文件的形式存放在硬盘中。具体来说这些日志对应的目录和文件为： (1).安全日志文件:C:WINDOWSsystem32configSecEvent.Evt (2).系统日志文件:C:WINDOWSsystem32configSysEvent.Evt (3).应用程序日志文件:C:WINDOWSsystem32configAppEvent.Evt (4).FTP日志默认位置:C: (5).WWW日志默认位置:C:、非法清除日志 上述这些日志在服务器正常运行的时候是不能被删除的，FTP和WWW日志的删除可以先把这2个服务停止掉，然后再删除日志文件，攻击者一般不会这么做的。系统和应用程序的日志是由守护服务Event Log支持的，而它是没有办法停止的，因而是不能直接删除日志文件的。攻击者在拿下Web服务器后，一般会采用工具进行日志的清除，其使用的工具主要是CL和CleanIISLog。 (1).利用CL彻底清除日志 这个工具可以彻底清除IIS日志、FTP日志、计划任务日志、系统日志、安全日志等，使用的操作非常简单。 在命令下输入“cl -logfiles 127.0.0.1”就可以清除Web服务器与Web和FTP和计划任务相关的日志。其原理就是先把FTP、WWW、Task Scheler服务停止再删除日志，然后再启动三个服务。(图2)celialin 该工具还可以选择性地清除相应的日志，比如输入“cl -eventlog All”就会清除Web服务器中与系统相关的日志。另外，此工具支持远程清理，这是攻击者经常采用的方法。首先他们通过命令“netuse ipipc$ 密码/user:用户名”在本地和服务器建立了管理员权限的IPC管理连接，然后用“CL -LogFile IP”命令远程清理服务日志。(图3)
(2).利用CleanIISLog选择性地清理IIS日志 比如攻击者通过Web注入方式拿下服务器，这样他的入侵痕迹(IP地址)都留在了IIS日志里。他们利用该工具只把其在IIS日志中的IP地址进行清除，这样就不会让对方管理员起疑心。 在命令中执行“CleanIISLog . IP”就可以清除IIS日志中有关该IP的连接记录同时保留其它IP记录。如果管理做了防范，比如更改了IIS日志的路径，攻击者在确定了日志的路径后，也可以通过该工具进行清除，其操作是，在命令行下执行“CleanIISLog IIS日志路径 IP地址”来清除指定IIS路径的IP记录。(图4)二、打造日志服务器保护日志 通过上面的演示可以看到，如果将服务器的日志保存在本地是非常不安全的。而且，如果企业中的服务器非常多的话，查看日志会非常麻烦。基于以上考虑，打造专门的日志服务器，即有利于服务器日志的备份又有利用于集中管理。 笔者的做法是，搭建一个FTP服务器用来日志的集中和备份，可以在服务器中通过专门的工具或者计划任务来实现日志的自动上传备份。这部分内容比较简单，笔者就不演示了。其实不仅可以将服务器日志备份到专门的日志服务器上，日志服务器还可以实现网络设备的日志备份。 以路由器为例，首先在其上进行设置，指定记录日志的服务器，最后通过FTP协议将日志数据传输到FTP服务器上。搭建FTP服务器可以利用IIS的FTP或者Serv-u，但是笔者觉得IIS的FTP在权限分配上不够方便，而Serv-u有漏洞太多，因此推荐TYPSoft FTP。 1、架设日志服务器 TYPSoft FTP是绿色软件，下载解压后双击ftpserv.exe文件，启动typsoft fip主程序。启动后，点击主界面菜单中的“设定→用户”，建立新账户log。接着在用户界面中设置log账号所对应的用户密码和日志保存的目录，最后点击“保存”按钮使设置生效，这样日志服务器就架好了。(图5)2、日志服务器的指定 当搭建好日志服务器后，只需要到相应的网络设置中通过SYSLOG或LOG命令指定要保存日志的服务器地址即可，同时加上设置好的账户名和密码即可完成传输配置工作。下面笔者就以Cisco6509设备上配置及指定日志服务器为例。 正常登录到设备上然后在全局配置模式下输入logging 192.168.1.10，它的意思是在路由器上指定日志服务器地址为192.168.1.10。接着输入logging trap，它的意思是设置日志服务器接收内容，并启动日志记录。trap后面可以接参数0到7，不同级别对应不同的情况，可以根据实际情况进行选择。如果直接使用logging trap进行记录的话是记录全部日志。配置完毕后路由交换设备可以发送日志信息，这样在第一时间就能发现问题并解决。日志服务器的IP地址，只要是能在路由交换设备上ping通日志服务器的IP即可，不一定要局限在同一网段内。因为FTP属于TCP/IP协议，它是可以跨越网段的。(图6) 总结：本文从攻击者的角度解析对Web日志的删除和修改，目的是让大家重视服务器日志的保护。另外，搭建专门的日志服务器不仅可以实现对日志的备份，同时也更利用对日志的集中管理。
‘贰’ web日志可以直接删除吗
可以删除滴，
所有扩展名为.log的文件（都是日志文件）都可以删除。
‘叁’ 如何查看计算机安全性日志中的删除文件记录。
C:\WINDOWS\System32\config\ 这个是日志文件目录
查历史记录，或者查cookie之类日志。
历史记录在IE的历史按钮（一个钟那个），cookie一般都存于c:\documents and settings\当前用户名\local settings\temporary internet files中
以Windows XP为例，右键点击“开始”按钮，选择“属性”，在弹出的设置任务栏和开始菜单属性对话窗中点“自定义”按钮，在“自定义开始菜单”对话框中的“高级”标签下点“清除列表”。若要让系统永不自作多情记住使用文档的记录，请去掉“列出我最近打开的文档”前的钩。
小提示：XP会把最近访问文档的快捷方式放在C:\Documents and Settings\用户名\Recent中，手工删除它们也能让文档菜单“失去记忆”。
2.删除临时文件夹中的内容
当执行过安装软件、打开文档等操作时，在临时文件夹中会留下相应文件，可以手工清除在下列位置中的内容：C:\Windows\Temp、C:\Documents And Settings\用户名\Local Settings\Temp。如在删除时提示有文件在使用，就需要关掉相关程序，最好重启一次再删除。
3.清除“运行”、“查找”等处的历史记录
清除“运行”对话框中记录的输入内容，可修改注册表。这些记录被保存在“HKEY_CURRENT_USER
\Software\Microsoft\Windows\CurrentVersion\Explorer\
RunMRU”分支下，将其完全删除后重启。此外，该主键下的“DocFindSpecMRU”项，在右侧栏目中显示的是“查找”的历史记录，可一并删除。
4.隐藏在IE中的行踪
上网后，会有大量信息反映你的所作所为，这还了得？
①清空Internet临时文件夹
别人查看“Internet临时文件夹”下的图片、Flash等文件便能大体知道你曾到过的网站。要清除它们，可依次单击IE菜单栏中的“工具”→“Internet选项”，打开“Internet选项”对话框，在“常规”标签中点击“删除文件”按钮，在弹出的“删除文件”窗口中勾选“删除所有脱机内容”，最后点击“确定”。
②我不要“小甜饼”（Cookie）
Cookie也可能是泄密的一个“罪魁祸首”，在“Internet选项”对话框的“常规”标签中单击“删除Cookies”按钮，待弹出窗口后单击“确定”按钮，可删除它们。
小提示：一种保险的办法是在上网后，进入Internet临时文件夹（该文件夹可在Internet选项对话框的“常规”选项下点“设置”来查看具体位置)，删除其下所有内容，这样，临时文件及Cookie等都会被清除。
③消除访问网页的历史记录
IE会将最近三周的访问历史记下，要“踏网无痕”可得清除它们，只要删除“C:\Documents and Settings\用户名\Local Settings\History”文件夹中的所有内容即可。也可在Internet选项对话框的“常规”标签下点“清除历史纪录”按钮。
要让IE不记录访问历史，请在Internet选项对话框的“常规”选项下，将网页保存在历史纪录中的天数从默认的20改成0即可。
④清除IE记住的表单内容
当访问网站时，一些网页会提示输入，例如，搜索时会要求输入搜索内容、登录邮箱则要填用户名、密码——这些东西会被IE自动记录。要删除它们，可在“Internet选项”对话框的“内容”标签下点“自动完成”按钮，在弹出的“自动完成设置”对话框中将“表单”、“表单上的用户名和密码”和“提示我保存密码”前的钩去掉，再单击“清除表单”、“清除密码”按钮，当询问时点“确定”。
⑤删除地址栏列表中的网址
在IE地址栏中输入要访问站点的部分字母时会自动打开列表，其中有最近曾访问的相匹配的站点，这也得清除。
在“Internet选项”对话框的“内容”标签下单击“自动完成”按钮，打开“自动完成”对话框，去掉“Web地址”前的钩。
若安装了“中文网址”软件，采用上法不能将地址栏列表中的“网络实名”清除，此时要在“Internet选项”对话框的“高级”选项卡下，选中“网络实名”中的“清除地址栏下拉列表中显示的网络实名”项，单击“确定”。
小提示：当完成上述操作后，千万别忘清空回收站。若此处没有收拾干净，就将前功尽弃了