网络安全事件响应--应急响应（windows）
应用系统日志
Windows主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。
系统和应用程序日志存储着故障排除信息，对于系统管理员更为有用。安全日志记录着事件审计信息，包括用户验证（登录、远程访问等）和特定用户在认证后对系统做了什么，对于 调查人员而言，更有帮助。
其他日志：
除了应用程序日志、系统日志和安全日志以外，一些特殊的系统服务配置可能也会产生其他日志文件，例如Powershell日志、WWW日志、FTP日志，DNS服务器日志等。
查看记录系统事件的日志：
WIN+R打开运行框，运行 eventvwr.msc 命令，打开事件查看器
2.查看windows 日志，分析windows 日志时，主要是查看安全日志，分析是否存通过暴力破解、横向传递等安全事件，定位恶意IP地址、事件发生时间等。
二、Windows日志介绍
2.1 应用程序日志
应用程序日志包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。
默认位置：C:\Windows\System32\Winevt\Logs\Application.evtx
2.2 系统日志
系统日志记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃以及数据丢失错误等
默认位置：C:\Windows\System32\Winevt\Logs\System.evtx
2.3 安全日志
安全日志记录系统的安全审计事件，包含各种类型的登录日志、对象访问日志、进程追踪日志、特权使用、帐号管理、策略变更、系统事件。安全日志也是调查取证中最常用到的日志。默认设置下，安全性日志是关闭的，管理员可以使用组策略来启动安全性日志，或者在注册表中设置审核策略，以便当安全性日志满后使系统停止响应。
默认位置：C:\Windows\System32\Winevt\Logs\Security.evtx
三、查看与分析日志
事件ID是区分系统事件的一个重要字段，在事件查看器中可以通过事件ID筛选日志
4624：根据事件ID筛选事件
查看系统登录日志时，重点关注以下字段信息。
事件ID：4624（登录成功）和4625（登录失败）。
登录类型：根据登录类型分析登录操作来源。
账户名：登录操作时使用的账户名。
源网络地址：登录操作来源IP。
进程信息：登录操作调用的进程。
四、常见事件ID
Windows安全事件最常用的事件ID：
| 事件ID | 说明 | 备注 |
| 1074 | 计算机开机、关机、重启的时间、原因、注释 | 查看异常关机情况 |
| 1102 | 清理审计日志 | 发现篡改事件日志的用户 |
| 4624 | 登录成功 | 检测异常的未经授权的登录 |
| 4625 | 登陆失败 | 检测可能的暴力密码攻击 |
| 4632 | 成员已添加到启用安全性的本地组 | 检测滥用授权用户行为 |
| 4634 | 注销用户 | |
| 4648 | 试图使用显式凭据登录 | |
| 4657 | 注册表值被修改 | |
| 4663 | 尝试访问对象 | 检测未经授权访问文件和文件夹的行为。 |
| 4672 | administrator超级管理员登录（被赋予特权） | |
| 4698 | 计划任务已创建 | |
| 4699 | 计划任务已删除 | |
| 4700 | 启用计划任务 | |
| 4701 | 禁用计划任务 | |
| 4702 | 更新计划任务 | |
| 4720 | 创建用户 | |
| 4726 | 删除用户 | |
| 4728 | 成员已添加到启用安全性的全局组 | 确保添加安全组成员的资格信息 |
| 4740 | 锁定用户账户 | 检测可能的暴力密码攻击 |
| 4756 | 成员已添加到启用安全性的通用组 | |
| 6005 | 表示日志服务已经启动（表明系统正常启动了） | 查看系统启动情况 |
| 6006 | 表示日志服务已经停止（如果在某天没看到6006事件，说明出现关机异常事件了） | 查看异常关机情况 |
| 6009 | 非正常关机（ctrl+alt+delete关机） |
4.1 登录事件
| 事件ID | 说明 |
| 4624 | 登陆成功 |
| 4625 | 登录失败 |
| 4634 | 用户注销 |
| 4647 | 用户启动了注销过程。 |
| 4648 | 用户已成功使用显式凭据登录到计算机，而该用户已以其他用户身份登录。 |
| 4779 | 用户在未注销的情况下断开了终端服务器会话的连接。 |
4.1.1 4624登陆成功
登陆成功事件中将包含以下信息，其中需要特别关注账户名称、登陆类型、进程名称、源网络地址：
已成功登录帐户。
| 使用者: | |||
| 安全 ID: | SYSTEM | ||
| 帐户名称: | LAPTOP-TU29M93M$ | ||
| 帐户域: | WORKGROUP | ||
| 登录 ID: | 0x3E7 | ||
| 登录信息: | |||
| 登录类型: | 5 | ||
| 受限制的管理员模式: | - | ||
| 虚拟帐户: | 否 | ||
| 提升的令牌: | 是 | ||
| 模拟级别: | 模拟 | ||
| 新登录: | |||
| 安全 ID: | SYSTEM | ||
| 帐户名称: | SYSTEM | ||
| 帐户域: | NT AUTHORITY | ||
| 登录 ID: | 0x3E7 | ||
| 链接的登录 ID: | 0x0 | ||
| 网络帐户名称: | - | ||
| 网络帐户域: | - | ||
| 登录 GUID: | {00000000-0000-0000-0000-000000000000} | ||
| 进程信息: | |||
| 进程 ID: | 0x4c8 | ||
| 进程名称: | C:\Windows\System32\services.exe | ||
| 网络信息: | |||
| 工作站名称: | - | ||
| 源网络地址: | - | ||
| 源端口: | - | ||
| 详细的身份验证信息: | |||
| 登录进程: | Advapi | ||
| 身份验证数据包: | Negotiate | ||
| 传递的服务: | - | ||
| 数据包名(仅限 NTLM): | - | ||
| 密钥长度: | 0 |
“使用者”字段指示本地系统上请求登录的帐户。这通常是一个服务(例如 Server 服务)或本地进程(例如 Winlogon.exe 或 Services.exe)。
“登录类型”字段指示发生的登录类型。最常见的类型是 2 (交互式)和 3 (网络)。
“新登录”字段指示新登录是为哪个帐户创建的，即已登录的帐户。
“网络”字段指示远程登录请求源自哪里。“工作站名称”并非始终可用，并且在某些情况下可能会留空
“模拟级别”字段指示登录会话中的进程可以模拟到的程度。
“身份验证信息”字段提供有关此特定登录请求的详细信息。
- “登录 GUID”是可用于将此事件与 KDC 事件关联起来的唯一标识符。
-“传递的服务”指示哪些中间服务参与了此登录请求。
-“数据包名”指示在 NTLM 协议中使用了哪些子协议。
-“密钥长度”指示生成的会话密钥的长度。如果没有请求会话密钥，则此字段将为 0。
在登录信息中可以根据登陆类型来区分登录者到底是从本地登录，还是从网络登录，以及其它更多的登录方式。因为了解了这些登录方式，将有助于从事件日志中发现可疑的黑客行为，并能够判断其攻击方式。以下列举了常见的登陆类型：
| 登录类型 | 登录标题 | 说明 | 备注 |
| 2 | 交互 | 本地登录 | 硬件远程控制解决方案（如网络** KVM **或远程访问/服务器中的无人照看卡）IIS 基本身份验证（低于 IIS 6.0） |
| 3 | 网络 | 从网络登录到此计算机 | 例如连接共享文件或共享打印机 |
| 4 | 批处理 | 批处理登录类型由批处理服务器使用，其中进程可以代表用户执行，而无需用户直接干预。 | |
| 5 | 服务 | 服务控制管理器已启动服务。 | 开机之后通常会伴随许多服务类型的登录 |
| 7 | 解除锁定 | 已解锁此工作站 | 睡眠模式之后的登录 |
| 8 | NetworkCleartext | 从网络登录到此计算机的用户。 用户的密码以未经过哈希处理的形式传递给验证包。 内置的身份验证将所有哈希凭证打包，然后再通过网络发送它们。 凭据不会以纯文本（也称为明文）形式遍历网络。 | IIS 基本身份验证（IIS 6.0 和更高版本）； |
| Windows PowerShell（具有 CredSSP） | |||
| 9 | NewCredentials | 调用方克隆了其当前密码并为出站连接指定了新凭据。 新登录会话具有相同的本地标识，但对其他网络连接使用不同的凭据。 | 当你使用带**/Netonly**参数的RUNAS命令运行一个程序时（没带/Netonly参数的RUNAS命令被标记为2） |
| 10 | RemoteInteractive | 使用终端服务或远程桌面远程登录到此计算机的用户。 | 远程登录 |
| 11 | CachedInteractive | 使用存储在计算机上的本地网络凭据登录到此计算机的用户。 未联系域控制器以验证凭据。 |
更多关于4624登录成功的详细字段解析请参阅
https://learn.microsoft.com/zh-cn/windows/security/threat-protection/auditing/event-4624
4.1.2 4625登陆失败
登陆失败事件中将包含以下信息，其中需要特别关注账户名称、登陆类型、失败信息、调用方进程名称、源网络地址：
| 帐户登录失败 | |||
| 使用者: | |||
| 安全 ID: | SYSTEM | ||
| 帐户名: | LAPTOP-TU29M93M$ | ||
| 帐户域: | WORKGROUP | ||
| 登录 ID: | 0x3E7 | ||
| 登录类型: | 2 | ||
| 登录失败的帐户: | |||
| 安全 ID: | NULL SID | ||
| 帐户名: | JSSLRKS | ||
| 帐户域: | LAPTOP-TU29M93M | ||
| 失败信息: | |||
| 失败原因: | 未知用户名或密码错误。 | ||
| 状态: | 0xC000006D | ||
| 子状态: | 0xC000006A | ||
| 进程信息: | |||
| 调用方进程 ID: | 0x4e8 | ||
| 调用方进程名: | C:\Windows\System32\svchost.exe | ||
| 网络信息: | |||
| 工作站名: | LAPTOP-TU29M93M | ||
| 源网络地址: | 127.0.0.1 | ||
| 源端口: | 0 | ||
| 详细身份验证信息: | |||
| 登录进程: | User32 | ||
| 身份验证数据包: | Negotiate | ||
| 传递服务: | - | ||
| 数据包名(仅限 NTLM): | - | ||
| 密钥长度: | 0 | ||
1.“使用者”字段指明本地系统上请求登录的帐户。这通常是一个服务(例如 Server 服务)或本地进程(例如 Winlogon.exe 或 Services.exe)。
2.“登录类型”字段指明发生的登录的种类。最常见的类型是 2 (交互式)和 3 (网络)。
3.“进程信息”字段表明系统上的哪个帐户和进程请求了登录。
4.“网络信息”字段指明远程登录请求来自哪里。“工作站名”并非总是可用，而且在某些情况下可能会留为空白。
5.“身份验证信息”字段提供关于此特定登录请求的详细信息。
-“传递服务”指明哪些直接服务参与了此登录请求。
-“数据包名”指明在 NTLM 协议之间使用了哪些子协议。-“密钥长度”指明生成的会话密钥的长度。如果没有请求会话密钥，则此字段为 0。
4625登陆失败事件的子状态码表示登陆失败的原因，在此整理常见的子状态码：
| 子状态码 | 描述 |
| 0XC000005E | 当前没有可用于服务登录请求的登录服务器。 |
| 0xC0000064 | 用户使用拼写错误或错误用户帐户进行登录 |
| 0xC000006A | 用户使用拼写错误或错误密码进行登陆 |
| 0XC000006D | 原因可能是用户名或身份验证信息错误 |
| 0XC000006E | 指示引用的用户名和身份验证信息有效，但某些用户帐户限制阻止了成功的身份验证（例如时间限制）。 |
| 0xC000006F | 用户在授权时间之外登录 |
| 0xC0000070 | 用户从未经授权的工作站登录 |
| 0xC0000071 | 用户使用过期密码登录 |
| 0xC0000072 | 用户登录到管理员已禁用的帐户 |
| 0XC00000DC | 指示 Sam 服务器处于错误状态，无法执行所需操作。 |
| 0XC0000133 | DC 和其他计算机之间的时钟完全不同步 |
| 0XC000015B | 此计算机上尚未授予用户请求的登录类型（也称为_登录权限_） |
| 0XC000018C | 登录请求失败，因为主域和受信任域之间的信任关系失败。 |
| 0XC0000192 | 尝试登录，但 Netlogon 服务未启动。 |
| 0xC0000193 | 用户使用过期帐户登录 |
| 0XC0000224 | 用户需要在下次登录时更改密码 |
| 0XC0000225 | 很明显，这是 Windows 中的错误而非风险 |
| 0xC0000234 | 帐户已锁定的用户登录 |
| 0XC00002EE | 失败原因：登录时出错 |
| 0XC0000413 | 登录失败：登录的计算机受身份验证防火墙保护。 不允许指定的帐户对计算机进行身份验证。 |
| 0x0 | 状态正常。 |
更多关于4625登录失败的详细字段解析请参阅
https://learn.microsoft.com/zh-cn/windows/security/threat-protection/auditing/event-4625
4.2 特权使用
| 事件ID | 说明 |
| 4672 | 给新登录分配特权 |
| 4673 | 要求特权服务 |
| 4674 | 试图对特权对象尝试操作 |
4.3 账户管理事件
帐户管理事件的示例包括：
创建、更改或删除用户帐户或组。
用户帐户已重命名、禁用或启用。
设置或更改密码。
| 事件ID | 说明 |
| 4720 | 已创建用户帐户。 |
| 4723 | 用户密码已更改。 |
| 4724 | 设置了用户密码。 |
| 4726 | 已删除用户帐户。 |
| 4727 | 创建了一个全局组。 |
| 4728 | 已将成员添加到全局组。 |
| 4729 | 从全局组中删除了一个成员。 |
| 4730 | 已删除全局组。 |
| 4731 | 创建了一个新的本地组。 |
| 4732 | 一个成员已添加到本地组。 |
| 4733 | 从本地组中删除了一个成员。 |
| 4734 | 已删除本地组。 |
| 4735 | 本地组帐户已更改。 |
| 4737 | 已更改全局组帐户。 |
| 4738 | 用户帐户已更改。 |
| 4739 | 修改了域策略。 |
| 4740 | 用户帐户已自动锁定。 |
| 4741 | 已创建计算机帐户。 |
| 4742 | 计算机帐户已更改。 |
| 4743 | 已删除计算机帐户。 |
| 4744 | 创建了禁用了安全性的本地安全组。 |
| 注意： 正式名称中的SECURITY_DISABLED意味着无法使用此组在访问检查中授予权限 | |
| 4745 | 已更改禁用安全性的本地安全组。 |
| 4746 | 已将一名成员添加到安全禁用的本地安全组。 |
| 4747 | 从安全禁用的本地安全组中删除了一名成员。 |
| 4748 | 已删除安全禁用的本地组。 |
| 4749 | 已创建安全禁用的全局组。 |
| 4750 | 已更改安全禁用的全局组。 |
| 4751 | 已将一名成员添加到安全禁用的全局组。 |
| 4752 | 成员已从安全禁用的全局组中删除。 |
| 4753 | 已删除安全禁用的全局组。 |
| 4754 | 已创建启用安全性的通用组。 |
| 4755 | 已更改启用安全的通用组。 |
| 4756 | 成员已添加到已启用安全的通用组。 |
| 4757 | 成员已从启用安全的通用组中删除。 |
| 4758 | 已删除已启用安全性的通用组。 |
| 4759 | 已创建安全禁用的通用组。 |
| 4760 | 已更改安全禁用的通用组。 |
| 4761 | 成员已添加到安全禁用的通用组。 |
| 4762 | 成员已从安全禁用的通用组中删除。 |
| 4763 | 已删除安全禁用的通用组。 |
| 4764 | 组类型已更改。 |
| 4780 | 设置管理组成员的安全描述符。 |
| 685 | 设置管理组成员的安全描述符。 |
| 注意： 后台线程每 60 分钟在域控制器上搜索 (管理组的所有成员，例如域、企业和架构管理员) ，并在其上应用固定的安全描述符。 记录此事件。 |
4.4 账户登录事件
在域控制器上对域用户帐户进行身份验证时，将生成帐户登录事件， 事件记录在域控制器的安全日志中。当本地用户在本地计算机上进行身份验证时，将生成登录事件。 事件记录在本地安全日志中。
| 事件ID | 说明 |
| 672 | 已成功颁发和验证身份验证服务 (AS) 票证。 |
| 673 | 已授予 (TGS) 票证的票证授予服务。 |
| 674 | 安全主体续订了 AS 票证或 TGS 票证。 |
| 675 | 预身份验证失败。 当用户键入不正确的密码时，密钥分发中心 (KDC) 上生成此事件。 |
| 676 | 身份验证票证请求失败。 此事件不会在 Windows XP 或 Windows Server 2003 系列中生成。 |
| 677 | 未授予 TGS 票证。 此事件不会在 Windows XP 或 Windows Server 2003 系列中生成。 |
| 678 | 已成功映射到域帐户的帐户。 |
| 681 | 登录失败。 尝试了域帐户登录。 此事件不会在 Windows XP 或 Windows Server 2003 系列中生成。 |
| 682 | 用户已重新连接到断开连接的终端服务器会话。 |
| 683 | 用户在未注销的情况下断开终端服务器会话的连接。 |
5.2 事件ID汇总
（参考： https://blog.csdn.net/qq_45825991/article/details/115577680）：
| EVENT_ID | 安全事件信息 |
| 1100 | ----- 事件记录服务已关闭 |
| 1101 | ----- 审计事件已被运输中断。 |
| 1102 | ----- 审核日志已清除 |
| 1104 | ----- 安全日志现已满 |
| 1105 | ----- 事件日志自动备份 |
| 1108 | ----- 事件日志记录服务遇到错误 |
| 4608 | ----- Windows正在启动 |
| 4609 | ----- Windows正在关闭 |
| 4610 | ----- 本地安全机构已加载身份验证包 |
| 4611 | ----- 已向本地安全机构注册了受信任的登录进程 |
| 4612 | ----- 为审计消息排队分配的内部资源已经用尽，导致一些审计丢失。 |
| 4614 | ----- 安全帐户管理器已加载通知包。 |
| 4615 | ----- LPC端口使用无效 |
| 4616 | ----- 系统时间已更改。 |
| 4618 | ----- 已发生受监视的安全事件模式 |
| 4621 | ----- 管理员从CrashOnAuditFail恢复了系统 |
| 4622 | ----- 本地安全机构已加载安全包。 |
| 4624 | ----- 帐户已成功登录 |
| 4625 | ----- 帐户无法登录 |
| 4626 | ----- 用户/设备声明信息 |
| 4627 | ----- 集团会员信息。 |
| 4634 | ----- 帐户已注销 |
| 4646 | ----- IKE DoS防护模式已启动 |
| 4647 | ----- 用户启动了注销 |
| 4648 | ----- 使用显式凭据尝试登录 |
| 4649 | ----- 检测到重播攻击 |
| 4650 | ----- 建立了IPsec主模式安全关联 |
| 4651 | ----- 建立了IPsec主模式安全关联 |
| 4652 | ----- IPsec主模式协商失败 |
| 4653 | ----- IPsec主模式协商失败 |
| 4654 | ----- IPsec快速模式协商失败 |
| 4655 | ----- IPsec主模式安全关联已结束 |
| 4656 | ----- 请求了对象的句柄 |
| 4657 | ----- 注册表值已修改 |
| 4658 | ----- 对象的句柄已关闭 |
| 4659 | ----- 请求删除对象的句柄 |
| 4660 | ----- 对象已删除 |
| 4661 | ----- 请求了对象的句柄 |
| 4662 | ----- 对对象执行了操作 |
| 4663 | ----- 尝试访问对象 |
| 4664 | ----- 试图创建一个硬链接 |
| 4665 | ----- 尝试创建应用程序客户端上下文。 |
| 4666 | ----- 应用程序尝试了一个操作 |
| 4667 | ----- 应用程序客户端上下文已删除 |
| 4668 | ----- 应用程序已初始化 |
| 4670 | ----- 对象的权限已更改 |
| 4671 | ----- 应用程序试图通过TBS访问被阻止的序号 |
| 4672 | ----- 分配给新登录的特权 |
| 4673 | ----- 特权服务被召唤 |
| 4674 | ----- 尝试对特权对象执行操作 |
| 4675 | ----- SID被过滤掉了 |
| 4688 | ----- 已经创建了一个新流程 |
| 4689 | ----- 一个过程已经退出 |
| 4690 | ----- 尝试复制对象的句柄 |
| 4691 | ----- 请求间接访问对象 |
| 4692 | ----- 尝试备份数据保护主密钥 |
| 4693 | ----- 尝试恢复数据保护主密钥 |
| 4694 | ----- 试图保护可审计的受保护数据 |
| 4695 | ----- 尝试不受保护的可审计受保护数据 |
| 4696 | ----- 主要令牌已分配给进程 |
| 4697 | ----- 系统中安装了一项服务 |
| 4698 | ----- 已创建计划任务 |
| 4699 | ----- 计划任务已删除 |
| 4700 | ----- 已启用计划任务 |
| 4701 | ----- 计划任务已禁用 |
| 4702 | ----- 计划任务已更新 |
| 4703 | ----- 令牌权已经调整 |
| 4704 | ----- 已分配用户权限 |
| 4705 | ----- 用户权限已被删除 |
| 4706 | ----- 为域创建了新的信任 |
| 4707 | ----- 已删除对域的信任 |
| 4709 | ----- IPsec服务已启动 |
| 4710 | ----- IPsec服务已禁用 |
| 4711 | ----- PAStore引擎（1％） |
| 4712 | ----- IPsec服务遇到了潜在的严重故障 |
| 4713 | ----- Kerberos策略已更改 |
| 4714 | ----- 加密数据恢复策略已更改 |
| 4715 | ----- 对象的审核策略（SACL）已更改 |
| 4716 | ----- 可信域信息已被修改 |
| 4717 | ----- 系统安全访问权限已授予帐户 |
| 4718 | ----- 系统安全访问已从帐户中删除 |
| 4719 | ----- 系统审核策略已更改 |
| 4720 | ----- 已创建用户帐户 |
| 4722 | ----- 用户帐户已启用 |
| 4723 | ----- 尝试更改帐户的密码 |
| 4724 | ----- 尝试重置帐户密码 |
| 4725 | ----- 用户帐户已被禁用 |
| 4726 | ----- 用户帐户已删除 |
| 4727 | ----- 已创建启用安全性的全局组 |
| 4728 | ----- 已将成员添加到启用安全性的全局组中 |
| 4729 | ----- 成员已从启用安全性的全局组中删除 |
| 4730 | ----- 已删除启用安全性的全局组 |
| 4731 | ----- 已创建启用安全性的本地组 |
| 4732 | ----- 已将成员添加到启用安全性的本地组 |
| 4733 | ----- 成员已从启用安全性的本地组中删除 |
| 4734 | ----- 已删除已启用安全性的本地组 |
| 4735 | ----- 已启用安全性的本地组已更改 |
| 4737 | ----- 启用安全性的全局组已更改 |
| 4738 | ----- 用户帐户已更改 |
| 4739 | ----- 域策略已更改 |
| 4740 | ----- 用户帐户已被锁定 |
| 4741 | ----- 已创建计算机帐户 |
| 4742 | ----- 计算机帐户已更改 |
| 4743 | ----- 计算机帐户已删除 |
| 4744 | ----- 已创建禁用安全性的本地组 |
| 4745 | ----- 已禁用安全性的本地组已更改 |
| 4746 | ----- 已将成员添加到已禁用安全性的本地组 |
| 4747 | ----- 已从安全性已禁用的本地组中删除成员 |
| 4748 | ----- 已删除安全性已禁用的本地组 |
| 4749 | ----- 已创建一个禁用安全性的全局组 |
| 4750 | ----- 已禁用安全性的全局组已更改 |
| 4751 | ----- 已将成员添加到已禁用安全性的全局组中 |
| 4752 | ----- 成员已从禁用安全性的全局组中删除 |
| 4753 | ----- 已删除安全性已禁用的全局组 |
| 4754 | ----- 已创建启用安全性的通用组 |
| 4755 | ----- 启用安全性的通用组已更改 |
| 4756 | ----- 已将成员添加到启用安全性的通用组中 |
| 4757 | ----- 成员已从启用安全性的通用组中删除 |
| 4758 | ----- 已删除启用安全性的通用组 |
| 4759 | ----- 创建了一个安全禁用的通用组 |
| 4760 | ----- 安全性已禁用的通用组已更改 |
| 4761 | ----- 已将成员添加到已禁用安全性的通用组中 |
| 4762 | ----- 成员已从禁用安全性的通用组中删除 |
| 4763 | ----- 已删除安全性已禁用的通用组 |
| 4764 | ----- 组类型已更改 |
| 4765 | ----- SID历史记录已添加到帐户中 |
| 4766 | ----- 尝试将SID历史记录添加到帐户失败 |
| 4767 | ----- 用户帐户已解锁 |
| 4768 | ----- 请求了Kerberos身份验证票证（TGT） |
| 4769 | ----- 请求了Kerberos服务票证 |
| 4770 | ----- 更新了Kerberos服务票证 |
| 4771 | ----- Kerberos预身份验证失败 |
| 4772 | ----- Kerberos身份验证票证请求失败 |
| 4773 | ----- Kerberos服务票证请求失败 |
| 4774 | ----- 已映射帐户以进行登录 |
| 4775 | ----- 无法映射帐户以进行登录 |
| 4776 | ----- 域控制器尝试验证帐户的凭据 |
| 4777 | ----- 域控制器无法验证帐户的凭据 |
| 4778 | ----- 会话重新连接到Window Station |
| 4779 | ----- 会话已与Window Station断开连接 |
| 4780 | ----- ACL是在作为管理员组成员的帐户上设置的 |
| 4781 | ----- 帐户名称已更改 |
| 4782 | ----- 密码哈希帐户被访问 |
| 4783 | ----- 创建了一个基本应用程序组 |
| 4784 | ----- 基本应用程序组已更改 |
| 4785 | ----- 成员已添加到基本应用程序组 |
| 4786 | ----- 成员已从基本应用程序组中删除 |
| 4787 | ----- 非成员已添加到基本应用程序组 |
| 4788 | ----- 从基本应用程序组中删除了非成员。 |
| 4789 | ----- 基本应用程序组已删除 |
| 4790 | ----- 已创建LDAP查询组 |
| 4791 | ----- 基本应用程序组已更改 |
| 4792 | ----- LDAP查询组已删除 |
| 4793 | ----- 密码策略检查API已被调用 |
| 4794 | ----- 尝试设置目录服务还原模式管理员密码 |
| 4797 | ----- 试图查询帐户是否存在空白密码 |
| 4798 | ----- 枚举了用户的本地组成员身份。 |
| 4799 | ----- 已枚举启用安全性的本地组成员身份 |
| 4800 | ----- 工作站已锁定 |
| 4801 | ----- 工作站已解锁 |
| 4802 | ----- 屏幕保护程序被调用 |
| 4803 | ----- 屏幕保护程序被解雇了 |
| 4816 | ----- RPC在解密传入消息时检测到完整性违规 |
| 4817 | ----- 对象的审核设置已更改。 |
| 4818 | ----- 建议的中央访问策略不授予与当前中央访问策略相同的访问权限 |
| 4819 | ----- 计算机上的中央访问策略已更改 |
| 4820 | ----- Kerberos票证授予票证（TGT）被拒绝，因为该设备不符合访问控制限制 |
| 4821 | ----- Kerberos服务票证被拒绝，因为用户，设备或两者都不符合访问控制限制 |
| 4822 | ----- NTLM身份验证失败，因为该帐户是受保护用户组的成员 |
| 4823 | ----- NTLM身份验证失败，因为需要访问控制限制 |
| 4824 | ----- 使用DES或RC4进行Kerberos预身份验证失败，因为该帐户是受保护用户组的成员 |
| 4825 | ----- 用户被拒绝访问远程桌面。默认情况下，仅当用户是Remote |
| Desktop Users组或Administrators组的成员时才允许用户进行连接 | |
| 4826 | ----- 加载引导配置数据 |
| 4830 | ----- SID历史记录已从帐户中删除 |
| 4864 | ----- 检测到名称空间冲突 |
| 4865 | ----- 添加了受信任的林信息条目 |
| 4866 | ----- 已删除受信任的林信息条目 |
| 4867 | ----- 已修改受信任的林信息条目 |
| 4868 | ----- 证书管理器拒绝了挂起的证书请求 |
| 4869 | ----- 证书服务收到重新提交的证书请求 |
| 4870 | ----- 证书服务撤销了证书 |
| 4871 | ----- 证书服务收到发布证书吊销列表（CRL）的请求 |
| 4872 | ----- 证书服务发布证书吊销列表（CRL） |
| 4873 | ----- 证书申请延期已更改 |
| 4874 | ----- 一个或多个证书请求属性已更改。 |
| 4875 | ----- 证书服务收到关闭请求 |
| 4876 | ----- 证书服务备份已启动 |
| 4877 | ----- 证书服务备份已完成 |
| 4878 | ----- 证书服务还原已开始 |
| 4879 | ----- 证书服务恢复已完成 |
| 4880 | ----- 证书服务已启动 |
| 4881 | ----- 证书服务已停止 |
| 4882 | ----- 证书服务的安全权限已更改 |
| 4883 | ----- 证书服务检索到存档密钥 |
| 4884 | ----- 证书服务将证书导入其数据库 |
| 4885 | ----- 证书服务的审核筛选器已更改 |
| 4886 | ----- 证书服务收到证书请求 |
| 4887 | ----- 证书服务批准了证书请求并颁发了证书 |
| 4888 | ----- 证书服务拒绝了证书请求 |
| 4889 | ----- 证书服务将证书请求的状态设置为挂起 |
| 4890 | ----- 证书服务的证书管理器设置已更改。 |
| 4891 | ----- 证书服务中的配置条目已更改 |
| 4892 | ----- 证书服务的属性已更改 |
| 4893 | ----- 证书服务存档密钥 |
| 4894 | ----- 证书服务导入并存档了一个密钥 |
| 4895 | ----- 证书服务将CA证书发布到Active Directory域服务 |
| 4896 | ----- 已从证书数据库中删除一行或多行 |
| 4897 | ----- 启用角色分离 |
| 4898 | ----- 证书服务加载了一个模板 |
| 4899 | ----- 证书服务模板已更新 |
| 4900 | ----- 证书服务模板安全性已更新 |
| 4902 | ----- 已创建每用户审核策略表 |
| 4904 | ----- 尝试注册安全事件源 |
| 4905 | ----- 尝试取消注册安全事件源 |
| 4906 | ----- CrashOnAuditFail值已更改 |
| 4907 | ----- 对象的审核设置已更改 |
| 4908 | ----- 特殊组登录表已修改 |
| 4909 | ----- TBS的本地策略设置已更改 |
| 4910 | ----- TBS的组策略设置已更改 |
| 4911 | ----- 对象的资源属性已更改 |
| 4912 | ----- 每用户审核策略已更改 |
| 4913 | ----- 对象的中央访问策略已更改 |
| 4928 | ----- 建立了Active Directory副本源命名上下文 |
| 4929 | ----- 已删除Active Directory副本源命名上下文 |
| 4930 | ----- 已修改Active Directory副本源命名上下文 |
| 4931 | ----- 已修改Active Directory副本目标命名上下文 |
| 4932 | ----- 已开始同步Active Directory命名上下文的副本 |
| 4933 | ----- Active Directory命名上下文的副本的同步已结束 |
| 4934 | ----- 已复制Active Directory对象的属性 |
| 4935 | ----- 复制失败开始 |
| 4936 | ----- 复制失败结束 |
| 4937 | ----- 从副本中删除了一个延迟对象 |
| 4944 | ----- Windows防火墙启动时，以下策略处于活动状态 |
| 4945 | ----- Windows防火墙启动时列出了规则 |
| 4946 | ----- 已对Windows防火墙例外列表进行了更改。增加了一条规则 |
| 4947 | ----- 已对Windows防火墙例外列表进行了更改。规则被修改了 |
| 4948 | ----- 已对Windows防火墙例外列表进行了更改。规则已删除 |
| 4949 | ----- Windows防火墙设置已恢复为默认值 |
| 4950 | ----- Windows防火墙设置已更改 |
| 4951 | ----- 规则已被忽略，因为Windows防火墙无法识别其主要版本号 |
| 4952 | ----- 已忽略规则的某些部分，因为Windows防火墙无法识别其次要版本号 |
| 4953 | ----- Windows防火墙已忽略规则，因为它无法解析规则 |
| 4954 | ----- Windows防火墙组策略设置已更改。已应用新设置 |
| 4956 | ----- Windows防火墙已更改活动配置文件 |
| 4957 | ----- Windows防火墙未应用以下规则 |
| 4958 | ----- Windows防火墙未应用以下规则，因为该规则引用了此计算机上未配置的项目 |
| 4960 | ----- IPsec丢弃了未通过完整性检查的入站数据包 |
| 4961 | ----- IPsec丢弃了重放检查失败的入站数据包 |
| 4962 | ----- IPsec丢弃了重放检查失败的入站数据包 |
| 4963 | ----- IPsec丢弃了应该受到保护的入站明文数据包 |
| 4964 | ----- 特殊组已分配给新登录 |
| 4965 | ----- IPsec从远程计算机收到一个包含不正确的安全参数索引（SPI）的数据包。 |
| 4976 | ----- 在主模式协商期间，IPsec收到无效的协商数据包。 |
| 4977 | ----- 在快速模式协商期间，IPsec收到无效的协商数据包。 |
| 4978 | ----- 在扩展模式协商期间，IPsec收到无效的协商数据包。 |
| 4979 | ----- 建立了IPsec主模式和扩展模式安全关联。 |
| 4980 | ----- 建立了IPsec主模式和扩展模式安全关联 |
| 4981 | ----- 建立了IPsec主模式和扩展模式安全关联 |
| 4982 | ----- 建立了IPsec主模式和扩展模式安全关联 |
| 4983 | ----- IPsec扩展模式协商失败 |
| 4984 | ----- IPsec扩展模式协商失败 |
| 4985 | ----- 交易状态已发生变化 |
| 5024 | ----- Windows防火墙服务已成功启动 |
| 5025 | ----- Windows防火墙服务已停止 |
| 5027 | ----- Windows防火墙服务无法从本地存储中检索安全策略 |
| 5028 | ----- Windows防火墙服务无法解析新的安全策略。 |
| 5029 | ----- Windows防火墙服务无法初始化驱动程序 |
| 5030 | ----- Windows防火墙服务无法启动 |
| 5031 | ----- Windows防火墙服务阻止应用程序接受网络上的传入连接。 |
| 5032 | ----- Windows防火墙无法通知用户它阻止应用程序接受网络上的传入连接 |
| 5033 | ----- Windows防火墙驱动程序已成功启动 |
| 5034 | ----- Windows防火墙驱动程序已停止 |
| 5035 | ----- Windows防火墙驱动程序无法启动 |
| 5037 | ----- Windows防火墙驱动程序检测到严重的运行时错 终止 |
| 5038 | ----- 代码完整性确定文件的图像哈希无效 |
| 5039 | ----- 注册表项已虚拟化。 |
| 5040 | ----- 已对IPsec设置进行了更改。添加了身份验证集。 |
| 5041 | ----- 已对IPsec设置进行了更改。身份验证集已修改 |
| 5042 | ----- 已对IPsec设置进行了更改。身份验证集已删除 |
| 5043 | ----- 已对IPsec设置进行了更改。添加了连接安全规则 |
| 5044 | ----- 已对IPsec设置进行了更改。连接安全规则已修改 |
| 5045 | ----- 已对IPsec设置进行了更改。连接安全规则已删除 |
| 5046 | ----- 已对IPsec设置进行了更改。添加了加密集 |
| 5047 | ----- 已对IPsec设置进行了更改。加密集已被修改 |
| 5048 | ----- 已对IPsec设置进行了更改。加密集已删除 |
| 5049 | ----- IPsec安全关联已删除 |
| 5050 | ----- 尝试使用对INetFwProfile.FirewallEnabled的调用以编程方式禁用Windows防火墙（FALSE |
| 5051 | ----- 文件已虚拟化 |
| 5056 | ----- 进行了密码自检 |
| 5057 | ----- 加密原语操作失败 |
| 5058 | ----- 密钥文件操作 |
| 5059 | ----- 密钥迁移操作 |
| 5060 | ----- 验证操作失败 |
| 5061 | ----- 加密操作 |
| 5062 | ----- 进行了内核模式加密自检 |
| 5063 | ----- 尝试了加密提供程序操作 |
| 5064 | ----- 尝试了加密上下文操作 |
| 5065 | ----- 尝试了加密上下文修改 |
| 5066 | ----- 尝试了加密功能操作 |
| 5067 | ----- 尝试了加密功能修改 |
| 5068 | ----- 尝试了加密函数提供程序操作 |
| 5069 | ----- 尝试了加密函数属性操作 |
| 5070 | ----- 尝试了加密函数属性操作 |
| 5071 | ----- Microsoft密钥分发服务拒绝密钥访问 |
| 5120 | ----- OCSP响应程序服务已启动 |
| 5121 | ----- OCSP响应程序服务已停止 |
| 5122 | ----- OCSP响应程序服务中的配置条目已更改 |
| 5123 | ----- OCSP响应程序服务中的配置条目已更改 |
| 5124 | ----- 在OCSP Responder Service上更新了安全设置 |
| 5125 | ----- 请求已提交给OCSP Responder Service |
| 5126 | ----- 签名证书由OCSP Responder Service自动更新 |
| 5127 | ----- OCSP吊销提供商成功更新了吊销信息 |
| 5136 | ----- 目录服务对象已修改 |
| 5137 | ----- 已创建目录服务对象 |
| 5138 | ----- 目录服务对象已取消删除 |
| 5139 | ----- 已移动目录服务对象 |
| 5140 | ----- 访问了网络共享对象 |
| 5141 | ----- 目录服务对象已删除 |
| 5142 | ----- 添加了网络共享对象。 |
| 5143 | ----- 网络共享对象已被修改 |
| 5144 | ----- 网络共享对象已删除。 |
| 5145 | ----- 检查网络共享对象以查看是否可以向客户端授予所需的访问权限 |
| 5146 | ----- Windows筛选平台已阻止数据包 |
| 5147 | ----- 限制性更强的Windows筛选平台筛选器阻止了数据包 |
| 5148 | ----- Windows过滤平台检测到DoS攻击并进入防御模式; 与此攻击相关的数据包将被丢弃。 |
| 5149 | ----- DoS攻击已经消退，正常处理正在恢复。 |
| 5150 | ----- Windows筛选平台已阻止数据包。 |
| 5151 | ----- 限制性更强的Windows筛选平台筛选器阻止了数据包。 |
| 5152 | ----- Windows筛选平台阻止了数据包 |
| 5153 | ----- 限制性更强的Windows筛选平台筛选器阻止了数据包 |
| 5154 | ----- Windows过滤平台允许应用程序或服务在端口上侦听传入连接 |
| 5155 | ----- Windows筛选平台已阻止应用程序或服务侦听端口上的传入连接 |
| 5156 | ----- Windows筛选平台允许连接 |
| 5157 | ----- Windows筛选平台已阻止连接 |
| 5158 | ----- Windows筛选平台允许绑定到本地端口 |
| 5159 | ----- Windows筛选平台已阻止绑定到本地端口 |
| 5168 | ----- SMB / SMB2的Spn检查失败。 |
| 5169 | ----- 目录服务对象已修改 |
| 5170 | ----- 在后台清理任务期间修改了目录服务对象 |
| 5376 | ----- 已备份凭据管理器凭据 |
| 5377 | ----- Credential Manager凭据已从备份还原 |
| 5378 | ----- 策略不允许请求的凭据委派 |
| 5440 | ----- Windows筛选平台基本筛选引擎启动时出现以下callout |
| 5441 | ----- Windows筛选平台基本筛选引擎启动时存在以下筛选器 |
| 5442 | ----- Windows筛选平台基本筛选引擎启动时，存在以下提供程序 |
| 5443 | ----- Windows筛选平台基本筛选引擎启动时，存在以下提供程序上下文 |
| 5444 | ----- Windows筛选平台基本筛选引擎启动时，存在以下子层 |
| 5446 | ----- Windows筛选平台标注已更改 |
| 5447 | ----- Windows筛选平台筛选器已更改 |
| 5448 | ----- Windows筛选平台提供程序已更改 |
| 5449 | ----- Windows筛选平台提供程序上下文已更改 |
| 5450 | ----- Windows筛选平台子层已更改 |
| 5451 | ----- 建立了IPsec快速模式安全关联 |
| 5452 | ----- IPsec快速模式安全关联已结束 |
| 5453 | ----- 与远程计算机的IPsec协商失败，因为未启动IKE和AuthIP IPsec密钥模块（IKEEXT）服务 |
| 5456 | ----- PAStore引擎在计算机上应用了Active Directory存储IPsec策略 |
| 5457 | ----- PAStore引擎无法在计算机上应用Active Directory存储IPsec策略 |
| 5458 | ----- PAStore引擎在计算机上应用了Active Directory存储IPsec策略的本地缓存副本 |
| 5459 | ----- PAStore引擎无法在计算机上应用Active Directory存储IPsec策略的本地缓存副本 |
| 5460 | ----- PAStore引擎在计算机上应用了本地注册表存储IPsec策略 |
| 5461 | ----- PAStore引擎无法在计算机上应用本地注册表存储IPsec策略 |
| 5462 | ----- PAStore引擎无法在计算机上应用某些活动IPsec策略规则 |
| 5463 | ----- PAStore引擎轮询活动IPsec策略的更改并检测不到任何更改 |
| 5464 | ----- PAStore引擎轮询活动IPsec策略的更改，检测到更改并将其应用于IPsec服务 |
| 5465 | ----- PAStore Engine收到强制重新加载IPsec策略的控件并成功处理控件 |
| 5466 | ----- PAStore引擎轮询Active Directory IPsec策略的更改，确定无法访问Active Directory，并将使用Active Directory |
| IPsec策略的缓存副本 | |
| 5467 | ----- PAStore引擎轮询Active Directory IPsec策略的更改，确定可以访问Active Directory，并且未找到对策略的更改 |
| 5468 | ----- PAStore引擎轮询Active Directory IPsec策略的更改，确定可以访问Active Directory，找到策略更改并应用这些更改 |
| 5471 | ----- PAStore引擎在计算机上加载了本地存储IPsec策略 |
| 5472 | ----- PAStore引擎无法在计算机上加载本地存储IPsec策略 |
| 5473 | ----- PAStore引擎在计算机上加载了目录存储IPsec策略 |
| 5474 | ----- PAStore引擎无法在计算机上加载目录存储IPsec策略 |
| 5477 | ----- PAStore引擎无法添加快速模式过滤器 |
| 5478 | ----- IPsec服务已成功启动 |
| 5479 | ----- IPsec服务已成功关闭 |
| 5480 | ----- IPsec服务无法获取计算机上的完整网络接口列表 |
| 5483 | ----- IPsec服务无法初始化RPC服务器。无法启动IPsec服务 |
| 5484 | ----- IPsec服务遇到严重故障并已关闭 |
| 5485 | ----- IPsec服务无法在网络接口的即插即用事件上处理某些IPsec筛选器 |
| 5632 | ----- 已请求对无线网络进行身份验证 |
| 5633 | ----- 已请求对有线网络进行身份验证 |
| 5712 | ----- 尝试了远程过程调用（RPC） |
| 5888 | ----- COM +目录中的对象已被修改 |
| 5889 | ----- 从COM +目录中删除了一个对象 |
| 5890 | ----- 一个对象已添加到COM +目录中 |
| 6144 | ----- 组策略对象中的安全策略已成功应用 |
| 6145 | ----- 处理组策略对象中的安全策略时发生一个或多个错误 |
| 6272 | ----- 网络策略服务器授予用户访问权限 |
| 6273 | ----- 网络策略服务器拒绝访问用户 |
| 6274 | ----- 网络策略服务器放弃了对用户的请求 |
| 6275 | ----- 网络策略服务器放弃了用户的记帐请求 |
| 6276 | ----- 网络策略服务器隔离了用户 |
| 6277 | ----- 网络策略服务器授予用户访问权限，但由于主机未满足定义的健康策略而将其置于试用期 |
| 6278 | ----- 网络策略服务器授予用户完全访问权限，因为主机符合定义的健康策略 |
| 6279 | ----- 由于重复失败的身份验证尝试，网络策略服务器锁定了用户帐户 |
| 6280 | ----- 网络策略服务器解锁了用户帐户 |
| 6281 | ----- 代码完整性确定图像文件的页面哈希值无效... |
| 6400 | ----- BranchCache：在发现内容可用性时收到格式错误的响应。 |
| 6401 | ----- BranchCache：从对等方收到无效数据。数据被丢弃。 |
| 6402 | ----- BranchCache：提供数据的托管缓存的消息格式不正确。 |
| 6403 | ----- BranchCache：托管缓存发送了对客户端消息的错误格式化响应以提供数据。 |
| 6404 | ----- BranchCache：无法使用配置的SSL证书对托管缓存进行身份验证。 |
| 6405 | ----- BranchCache：发生了事件ID％1的％2个实例。 |
| 6406 | ----- ％1注册到Windows防火墙以控制以下过滤： |
| 6408 | ----- 已注册的产品％1失败，Windows防火墙现在正在控制％2的过滤。 |
| 6409 | ----- BranchCache：无法解析服务连接点对象 |
| 6410 | ----- 代码完整性确定文件不满足加载到进程中的安全性要求。这可能是由于使用共享部分或其他问题 |
| 6416 | ----- 系统识别出新的外部设备。 |
| 6417 | ----- FIPS模式加密自检成功 |
| 6418 | ----- FIPS模式加密自检失败 |
| 6419 | ----- 发出了禁用设备的请求 |
| 6420 | ----- 设备已禁用 |
| 6421 | ----- 已发出请求以启用设备 |
| 6422 | ----- 设备已启用 |
| 6423 | ----- 系统策略禁止安装此设备 |
| 6424 | ----- 在事先被政策禁止之后，允许安装此设备 |
| 8191 | ----- 最高系统定义的审计消息值 |
windows安全事件id汇总
Win+R打开运行，输入“eventvwr.msc”，回车运行，打开“事件查看器”；或者右键我的电脑-管理-系统工具-事件查看器。在事件查看器中右键单击系统或安全日志，选择筛选当前日志，在筛选器中输入下列事件ID即可。
日志路径：C:\Windows\System32\winevt\Logs
查看日志：Security.evtx、System.evtx、Application.evtx
常用安全事件ID:
系统：
1074，通过这个事件ID查看计算机的开机、关机、重启的时间以及原因和注释。
6005，表示计算机日志服务已启动，如果出现了事件ID为6005，则表示这天正常启动了系统。
104，这个时间ID记录所有审计日志清除事件，当有日志被清除时，出现此事件ID。
安全：
4624，这个事件ID表示成功登陆的用户，用来筛选该系统的用户登陆成功情况。
4625，这个事件ID表示登陆失败的用户。
4720,4722,4723,4724,4725,4726,4738,4740,事件ID表示当用户帐号发生创建，删除，改变密码时的事件记录。
4727,4737,4739,4762,事件ID表示当用户组发生添加、删除时或组内添加成员时生成该事件。
网络安全学习路线
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
同时每个成长路线对应的板块都有配套的视频提供：
需要网络安全学习路线和视频教程的可以在评论区留言哦~
最后
- 如果你确实想自学的话，我可以把我自己整理收藏的这些教程分享给你，里面不仅有web安全，还有渗透测试等等内容，包含电子书、面试题、pdf文档、视频以及相关的课件笔记，我都已经学过了，都可以免费分享给大家！
给小伙伴们的意见是想清楚，自学网络安全没有捷径，相比而言系统的网络安全是最节省成本的方式，因为能够帮你节省大量的时间和精力成本。坚持住，既然已经走到这条路上，虽然前途看似困难重重，只要咬牙坚持，最终会收到你想要的效果。
黑客工具&SRC技术文档&PDF书籍&web安全等（可分享）
结语
网络安全产业就像一个江湖，各色人等聚集。相对于欧美国家基础扎实（懂加密、会防护、能挖洞、擅工程）的众多名门正派，我国的人才更多的属于旁门左道（很多白帽子可能会不服气），因此在未来的人才培养和建设上，需要调整结构，鼓励更多的人去做“正向”的、结合“业务”与“数据”、“自动化”的“体系、建设”，才能解人才之渴，真正的为社会全面互联网化提供安全保障。
特别声明：
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施
，从而减少由网络安全而带来的经济损失
相关文章：
网络安全事件响应--应急响应（windows）
应用系统日志 Windows主要有以下三类日志记录系统事件：应用程序日志、系统日志和安全日志。 系统和应用程序日志存储着故障排除信息，对于系统管理员更为有用。安全日志记录着事件审计信息，包括用户验证（登录、远程访问等&#x…...
使用 UNIX 命令在设计中搜索标识符：vcsfind 的入门指南
在现代软件开发和硬件设计中，快速准确地定位和搜索特定标识符是提高开发效率的关键。本文将介绍如何使用 UNIX 命令 vcsfind 在设计中搜索标识符，帮助您更高效地管理您的项目。 什么是 vcsfind？ vcsfind 是一个强大的 UNIX 命令行工具&#x…...
Qt不同窗口类的控件信号和槽绑定
做项目的时候我使用了Qt，不同的界面使用了不同的ui的类进行解耦，但是信号和槽绑定的时候可能是不同界面的控件互相进行通讯连接，然而ui指针对于各个界面类是私有成员，无法直接跳过访问，在网上看了一些参考资料…...
【Godot4.2】Vector2向量插值的应用
求线段的等分点 extends Node2Dvar pos:Vector2 var split_num:int var p1 Vector2(200,200) var p2 Vector2(100,100)func _input(event: InputEvent) -> void:if event is InputEventMouseButton:if event.button_index MOUSE_BUTTON_WHEEL_DOWN:split_num clamp(spl…...
Java线程安全
Java线程安全实现方式及原理详解 一、线程安全的核心概念 线程安全指多线程环境下，程序能正确且一致地处理共享资源的状态，不会因线程调度顺序导致数据不一致或逻辑错误。例如多个线程同时修改共享变量时，需通过同步机制确保操作原子性。 二、主要实现方式及原理 synchro…...
电机控制常见面试问题（九）
文章目录 一、谈谈电机死区时间1.死区时间过短的后果：2.如何判断死区时间不足?3.解决方案 二、请描述对实时操作系统（RTOS）的理解三.解释FOC算法的原理并比较与其他无刷电机控制算法的优劣四.什么是电机堵转，如何避免电机堵转五.…...
Django与模板
我叫补三补四，很高兴见到大家，欢迎一起学习交流和进步 今天来讲一讲视图 Django与模板文件工作流程 模板引擎：主要参与模板渲染的系统。 内容源：输入的数据流。比较常见的有数据库、XML文件和用户请求这样的网络数据。 模板&am…...
UFW 配置 Ubuntu 防火墙并设置防火墙规则
一、什么是 UFW？ UFW，全称为 Uncomplicated Firewall，顾名思义，它是一种简单易用的防火墙管理工具。与传统的防火墙配置工具相比，UFW 以其简洁明了的命令行界面而闻名。虽然它主要为普通用户设计，但它也具…...
在Keil 5中如何建立一个STM32项目
大家在使用Keil时大多都是利用样板项目来建立自己的项目，为了了解基本建立项目的知识写下了本篇文章。 项目建立流程 1.建立项目文件夹并明确其作用 —— 2.下载HAL库 —— 3.拷贝相关文件到对应文件夹 —— 4.打开Keil 5新建项目 —— 5.将项目文件夹添加到项目 …...
Linux 系统负载过高的排查思路
技术探讨：Linux系统负载过高的排查思路 在Linux服务器运行过程中，如果系统负载过高，可能会导致性能下降和服务不稳定。以下是针对Linux系统负载过高问题的排查思路和解决方法： 1. 查看系统负载： 使用uptime或top命令查…...
kotlin高级用法总结
Kotlin 是一门功能强大且灵活的编程语言，除了基础语法外，它还提供了许多高级特性，可以帮助你编写更简洁、高效和可维护的代码。以下是 Kotlin 的一些高级用法，涵盖了协程、扩展函数、属性委托、内联类、反射等内容。 协程&#x…...
Windows Wise Care 365 PRO-中文便携版
Windows Wise Care 365 PRO 链接：https://pan.xunlei.com/s/VOL9UE-i-GLXYr-6KhdyghHOA1?pwdajqe# - 禁止后续强制升级提示弹窗，杜绝后台下载升级文件 - 禁止自动创建开机启动项、任务计划，删除相关选项 - 去右侧无用区域：用户…...
SpringBoot 自动配置原理
自动配置是Spring Boot的关键特性之一，它简化了传统Spring应用繁琐的配置，通过智能推断和条件化配置简化了Spring应用的开发。 1. 自动配置的核心思想 目标：根据项目的依赖（如类路径中的 JAR 包）和已有的配置…...
HTMLCSS绘制三角形
1.代码： <!DOCTYPE html> <html lang"en"><head><meta charset"UTF-8"><meta name"viewport" content"widthdevice-width, initial-scale1.0"><title>01triangle</title><s…...
WorkTool 技术解析：企业微信自动化办公的合规实现方案
引言：企业微信生态中的自动化需求 随着企业微信用户规模突破4亿（据腾讯2023年财报），其开放生态催生了自动化办公的技术需求。传统RPA（机器人流程自动化）工具在PC端已广泛应用，但移动端自动化仍…...
Linux机器之间排查网络连通问题
网络连通性排查步骤（基于五层模型） 以下按照网络五层架构，从底层到高层逐层排查，并分别列出Ubuntu和CentOS对应的命令。 1. 物理层 排查点：网线、网卡状态、物理连接。 命令（通用）：…...
大数据学习（62）- Hadoop-yarn
&&大数据学习&& 🔥系列专栏： 👑哲学语录: 承认自己的无知，乃是开启智慧的大门 💖如果觉得博主的文章还不错的话，请点赞👍收藏⭐️留言📝支持一下博主哦ᾑ…...
Stable Diffusion/DALL-E 3图像生成优化策略
Stable Diffusion的最新版本或社区开发的插件，可以补充这些信息以保持内容的时效性。 云端源想 1. 硬件与部署优化（进阶） 显存压缩技术 使用--medvram或--lowvram启动参数（Stable Diffusion WebUI），通过分…...
21 | 全面测试项目功能
提示： 所有体系课见专栏：Go 项目开发极速入门实战课；欢迎加入 云原生 AI 实战 星球，12 高质量体系课、20 高质量实战项目助你在 AI 时代建立技术竞争力（聚焦于 Go、云原生、AI Infra）；本节课最终…...
Debian系统grub新增启动项
参考链接 给grub添加自定义启动项_linux grub定制 启动项名称自定义-CSDN博客 www.cnblogs.com 1. boot里面的grub.cfg 使用vim打开boot里面的grub.cfg sudo vim /boot/grub/grub.cfg 这时候会看到文件最上方的提示 2. 真正配置grub的文件 从刚才看到的文件提示中&#x…...
C语言中的assert断言，你了解多少呢？
引言 ‘ 介绍了assert 是什么，以及assert的优缺点 一、什么assert是断言 assert.h 头文件定义了宏 assert() ，用于在运行时确保程序符合指定条件，如果不符合，就报错终止运行。这个宏常常被称为“断言”。 int a 10;asse…...
设计模式之工厂模式
工厂模式属于创建型设计模式的一种，其实在我看来它更是在面向对象编程语言的抽象层的更加灵活的应用。工厂模式其实在创建型模式中难度较高，整体的理解上需要一定时间进行消化，在一些Java常见框架中，这种模式也是频繁出现的设计&a…...
详细学习 pandas 和 xlrd：从零开始
详细学习 pandas 和 xlrd：从零开始 前言 在数据处理和分析中，Excel 文件是最常见的数据格式之一。Python 提供了强大的库 pandas，可以轻松地处理 Excel 文件中的数据。同时，我们还可以使用 xlrd 来读取 Excel 文件，尤…...
BFS比DFS更好理解「翻转二叉树」
一周没发博客，算法好难！一直在复习前面的，哈希表、链表、二叉树已经够我喝一壶了，不过我一定要啃下来，哪怕慢一点，也不能盲目的追求速度，勤于复习才能将知识变成自己的，复习比学习重…...
c++介绍运算符重载九
这段代码中我们可以看到同样是运算符，它的作用是不同的aa<<3;是c内置的移位运算符。 cout<<"hello world"中<<它的作用是插入运算符。将字符串传递给cout对象，从而将字符输出到终端上。这种功能是如何实现的？其…...
重生之我在学Vue--第9天 Vue 3 项目整合
重生之我在学Vue–第9天 Vue 3 项目整合 文章目录 重生之我在学Vue--第9天 Vue 3 项目整合前言一、架构升级：从散件到整机1.1 项目结构重构1.2 核心模块通信图 二、功能整合：CRUD全链路实现2.1 任务管理状态中枢2.2 路由守卫实现数据预取2.3 UI与业务逻辑…...
小程序酒店：如何实现智能预订与在线支付？
在移动互联网快速发展的今天，酒店行业面临着前所未有的机遇与挑战。用户需求日益多样化，市场竞争愈发激烈，传统酒店预订方式已经难以满足现代消费者的需求。而小程序作为一种轻量化、便捷化的移动应用形式，正在成为酒店行业数字化转型的重要工具。通过小程序开发，酒店可以…...
网络信息安全专业（710207）网络安全攻防实训室建设方案
一、引言 随着信息技术的飞速发展，网络空间安全已成为国家安全的重要组成部分，对网络信息安全专业人才的需求日益增长。为满足网络信息安全专业（专业代码710207）的教学需求，提升学生在网络安全攻防领域的实践能力&…...
npm、pnpm、cnpm、yarn、npx之间的区别
区别 特性npmyarnpnpmcnpmnpx核心定位Node.js 默认包管理增强稳定性与性能高效存储与严格隔离国内镜像加速工具临时执行包命令依赖存储方式扁平化 node_modules扁平化 lock 文件全局硬链接 符号链接同 npm不适用安装速度较慢较快（并行下载）最快&#…...
数学：从宇宙密码到人工智能的核心语言
——解析数学本质、历史演进与未来革命的3000年全景图 一、数学本质论：宇宙的元语言 1.1 数学实在论的拓扑诠释 根据丘成桐的卡拉比-丘流形理论，物理定律可表述为： M C Y ↪ C P n 满足 c 1 ( M ) 0 \mathcal{M}_{CY} \hookrightarrow \…...
Java中的加盐加密：提升密码存储安全性的关键实践
引言 在现代应用中，用户密码的安全性至关重要。单纯的哈希算法（如MD5、SHA-1）虽然可以隐藏原始密码，但面对彩虹表攻击和暴力破解时仍存在风险。加盐加密通过在哈希过程中引入随机数据（称为“盐”）…...
开启AI开发新时代——全解析Dify开源LLM应用开发平台
开启AI开发新时代——全解析Dify开源LLM应用开发平台 在人工智能迅速发展的今天，如何快速将创意转化为高效可用的应用成为开发者亟待解决的问题。Dify 作为一款开源的 LLM 应用开发平台，以其直观的界面和强大的功能组合（包括 agentic AI 工作…...
数学建模：MATLAB强化学习
一、强化学习简述 强化学习是一种通过与环境交互，学习状态到行为的映射关系，以获得最大积累期望回报的方法。包含环境，动作和奖励三部分，本质是智能体通过与环境的交互，使得其作出的动作所得到的决策得到的总的奖励达…...
ELK traceId实现跨服务日志追踪
ELK怎么实现跨服务日志追踪，Trace-Id 具体实现方案及代码_kibana关联其他服务器的日志-CSDN博客 ELKMDC追踪日志 ---- SpringCloud实现传递_elk的mdc-CSDN博客 SpringBoot之HandlerInterceptor拦截器的使用 ——（一）-CSDN博客 在使用ELK&a…...
【开源项目-爬虫】Firecrawl
看到其他项目引用了这个项目 Firecrawl 用免费额度试了一下，这个项目和之前的 https://r.jina.ai/ 很像（类似的还有 https://www.scrapingbee.com/？），将爬取到的网页转换为 markdown 格式，这样大语言模型用…...
波特率、比特率、传信率、传码率......
去年搞过一段时间的无线通信，当时我脑子里真的是一团乱麻，本身咱也不是学通信的，咱是学机械出身的，后面又搞电，反正对于通信这一块就不是很懂，后面也慢慢搞出来了一点小东西，但是对于一些细节还…...
用户模块——redis工具类
1. Redis工具类与基础配置 1.1 什么是Redis，为什么使用它？ Redis（Remote Dictionary Server）是一个开源的高性能键值对存储数据库，通常用于缓存数据、存储会话信息等场景。它的主要优点是速度快，支持多种数…...
Synology 部署的 WordPress 無法升級至最新版本時，可以透過以下改良版指南進行排查和解決。
當 Synology 部署的 WordPress 無法升級至最新版本時，可以透過以下改良版指南進行排查和解決。我對內容進行了補充和重新組織，希望能幫助你更高效地處理這類問題： 權限相關問題處理 檢查文件和目錄權限： 確保 WordPress 安裝目錄…...
012-Benchmark
Benchmark 以下是一篇关于Google Benchmark库的全面介绍及使用指南，包含完整C代码示例和核心功能覆盖： Google Benchmark：C 性能基准测试指南 一、库简介 Google Benchmark 是一个专为 C 设计的微基准测试库，用于精确测量代码片…...
百某田网任务脚本
自动化操作百田游戏的任务脚本，特别是用于完成每日任务和积分兑换的功能。 主要功能 任务管理： 脚本通过定时任务查询并执行每天的任务，自动完成任务并兑换积分。 每个任务通过调用do_list()和do_task()函数来查询和完成。 多账号支持： 支持多个账号的登录和管理，账号信息…...
使用纯CSS 实现 侧边栏 拖拽效果
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 前言一、效果实现原理二、代码演示三.简单解释下样式四 完整的DEMO总结 前言 有不少需求是要拖动改变侧边栏宽高的，以下就是在不适用js ,只使用css 的情…...
c语言笔记 函数入门
c语言的函数就是用来实现某种功能的，如果说我们的程序代码都写在main函数中，这样会显得很难读懂，而且代码太长过于冗余，显得没有质量。所以我们可以把一些功能用分函数的方法实现功能独立分开，实现c程序的工整还有方便…...
运维新手入门——线缆的使用（Beginner‘s Guide to Operations and Maintenance - Cable Usage）
运维新手入门——线缆的使用 近期不断的有朋友问到线缆的传输距离，我们每天都在与线缆打交道，清楚了解线缆的使用才能在项目中得心应手，我们之前有提到过。 本期我们一起再来总结下常用的线缆传输距离。 01） 网线：超…...
JS—闭包：3分钟从入门到放弃
个人博客：haichenyi.com。感谢关注 一. 目录 一–目录二–基础定义三–闭包的运行机制四–闭包实战应用场景五–内存泄漏预防指南六–最佳实践总结 二. 基础定义 闭包：能够访问外部函数作用域的函数，以及其词法环境的组合。举个老生常谈栗…...
python pandas模块
python pandas模块 终于也到介绍pandas的时候了，python中用于处理data的一个lib 从wiki中找到的关于pandas的介绍，如下， Original author(s) Wes McKinney Developer(s) Community Initial release 11 January 2008; 17 years ago [citatio…...
系统部署【信创名录】及其查询地址
一、信创类型 （一）服务器： 1.华为云 2.腾讯云 3.阿里云 （二）中央处理器（CPU）： 1.海思，鲲鹏920服务器 （三）中间件 1.人大金仓 ࿰…...
docker-compose部署MongoDB分片集群
前言 MongoDB 使用 keyFile 进行 节点间身份验证，我们需要先创建一个 keyFile 并确保所有副本集的节点使用相同的 keyFile。 openssl rand -base64 756 > mongo-keyfile chmod 400 mongo-keyfiledocker-compose部署分片集群 无密码方式 # docker-compose-mongodb.yml s…...
博奥龙Nanoantibody系列IP专用抗体
货号名称BDAA0260 HRP-Nanoantibody anti Mouse for IP BDAA0261 AbBox Fluor 680-Nanoantibody anti Mouse for IP BDAA0262 AbBox Fluor 800-Nanoantibody anti Mouse for IP ——无轻/重链干扰，更高亲和力和特异性 01Nanoantibody系列抗体 是利用噬菌体展示纳…...
CTFshow 【WEB入门】信息搜集 【VIP限免】 web1-web17
CTFshow 【 WEB入门】、【VIP限免】 web1 ----源码泄露 首先第一步，看源代码 web2----前台JS绕过 简单点击查看不了源代码，可以强制查看 比如 Ctrl Shift ICtrl U或者在url前加一个view-source: view-source:http://79999ca1-7403-46da-b25b-7ba9…...
css 知识点整理
1.css 层叠样式表 中的 inherit、initial、unset 关键字适用属性类型行为逻辑典型场景inherit所有属性强制继承父级值统一子元素样式initial所有属性重置为规范初始值清除自定义或继承样式unset所有属性自动判断继承或重置简化全局样式重置或覆盖 2. sass 常用语法 2.1、变量…...