工件地图

关键词：Windows Server、IIS、W3C 日志、applicationHost.config、Sysmon、PowerShell 4104、inetpub、取证优先级 难度：进阶 前置知识：Windows 基础结构、NTFS 文件系统、HTTP 协议基本概念 相关文章：Windows 取证工件地图、事件日志深度分析

一、概述

拿到 Windows Server 镜像，最容易犯的错误是套用桌面 Windows 的思路。

去 Users\<用户名>\AppData 里翻浏览器记录、跳转列表、剪贴板——这些在服务器上大量不存在。跑的是 IIS、SQL Server、Exchange，AppData 里可能只有几个自动化服务的目录。

把它们查不到写成"未发现用户活动痕迹"，等于用错误的工具得出错误的结论。

真正决定事实的工件在服务器上恰恰是另一批：站点配置、站点级访问日志、认证与系统日志、计划任务与注册表。本篇给出这张全景图，以及"百 GB 镜像先提哪一类"的优先级排序。

六条结构性差异（理解差异比记路径重要）：

在取证流程中的位置：本篇属于采集环节的前置规划层。它不产出结论，而是决定"能得出什么结论"与"先取什么"。

Security.evtx 一旦写满就循环覆盖——先做元问题检查，再谈入侵（见 3.1 第 1 步）。

上游依赖 Windows 取证工件地图 的通用体系与 NTFS 结构与 MFT 解析 的定位能力；下游是本板块其余四篇的具体分析。

涉及的证据形态（按优先级，具体到路径）：

★ 最易被忽略的高价值工件是 applicationHost.config.bak。 IIS 改配置时先备份原文件，若主配置被改过（关闭脚本执行、改应用池身份），.bak 保留改之前的版本——两者 diff 直接给出配置级篡改证据，比任何时间戳推理都可靠。前提是你记得去拿这个文件。

能回答什么：哪些高价值通道真的存在（NOT PRESENT 是结论而非失败）；每条日志的覆盖时间窗与循环覆盖风险；哪个 W3SVC<n> 对应哪个域名与物理路径；站点目录里哪些文件是部署后新增的；PowerShell 4104 里有哪些脚本块内容；新增服务与计划任务落在哪。

还有一条经常被漏问的：这份检材能支撑的时间范围有多长。

不能回答什么：没部署的组件给不了数据。Sysmon 通道不存在时，"无异常进程创建"这个结论根本不成立（见 4.1 工件选择）。

超出覆盖期的历史同样无解。FileSize ≈ MaximumSizeInBytes 意味着更早记录已被冲掉，这必须写进报告局限。

异常关机前的内存态工件也不能用（Prefetch 依赖正常关机落盘，见 4.4 在线操作）。至于 cs-username 之外的请求体内容，W3C 日志根本不记。

读者前提：需要 Windows 目录结构与 NTFS 基础（见 NTFS 结构与 MFT 解析）、HTTP 与 W3C 日志格式概念、PowerShell 基础命令。事件 ID 的基础含义见事件日志深度分析，本篇只讲服务器侧的增量。

Linux 上定位与提取的命令见 07 命令速查 的 fls / icat 部分。

二、核心原理

2.1 ★ 服务器 vs 桌面 PC：六条结构性差异

理解差异比记住路径重要。这六条决定取证策略要整体调整。

六条里最贵的两条是「日志量级」和「加密」——一条决定你能回溯多久，一条决定你能不能读。

推论 1：「事件日志没有记录」的第一解释是被循环覆盖，不是"没发生"。Security.evtx 默认 20 MB 上限，有 IIS 的服务器配合应用池回收，几天就能冲掉几周前的内容。

推论 2：「无人登录」的结论要小心。按 (用户, IP, LogonType) 聚合看，而不是按总量看。

2.2 IIS 工件地图：三个层次

★ .bak 是最易被忽略的高价值工件：IIS 改配置时先备份原文件。若 applicationHost.config 被改过（关闭脚本执行、改应用池身份），.bak 保留着改之前的版本，两者 diff 直接给出配置级篡改证据。前提是你记得去拿这个文件。

2.3 事件日志：服务器场景的增量

事件 ID 基础表见事件日志深度分析。服务器上必须额外关注：

# 先确认哪些高价值通道真的存在
foreach ($ch in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational',
                'Microsoft-Windows-Sysmon/Operational','Microsoft-Windows-TaskScheduler/Operational') {
  $l = Get-WinEvent -ListLog $ch -ErrorAction SilentlyContinue
  if ($l) { "{0,-52} Rec={1,-8} {2,-10} Max={3}KB" -f $ch,$l.RecordCount,$l.LogMode,($l.MaximumSizeInBytes/1KB) }
  else    { "$ch  ==>  NOT PRESENT" }
}

NOT PRESENT 是结论而非失败：说明从未部署 Sysmon。报告应写"该主机无 Sysmon 部署"，而非"未发现异常进程创建"。

2.4 PowerShell 4104：把"可疑请求"推进到"具体行为"

W3C 日志能告诉你"有人在 03:12:07 请求了 /upload/x.aspx 且返回 200"。

但它说不出他上传了什么、之后干了什么。4104 记录脚本块完整文本，补上这一跳。

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PowerShell/Operational'; Id=4104} -MaxEvents 2000 |
  ForEach-Object { [xml]$x = $_.ToXml()
    [pscustomobject]@{
      Time = $_.TimeCreated
      User = ($x.Event.UserData.Data | Where-Object Name -eq 'UserId').'#text'
      Text = ($x.Event.UserData.Data | Where-Object Name -eq 'ScriptBlockText').'#text' } } |
  Export-Csv C:\evidence\ps4104.csv -NoTypeInformation -Encoding UTF8

★ 关联技巧：在 4104 文本里搜 W3C 中出现的可疑路径。同一路径同时出现在 4104 脚本和 W3C 日志中，是把"网络行为"与"主机行为"钉死在同一行为体上的强证据。

2.5 计划任务与注册表：服务器侧的两个增量

服务器上没有"桌面"，攻击者做持久化更倾向计划任务而非 Run 键。

# 列出动作指向非微软/非 Windows 目录的任务（可疑持久化）
Get-ScheduledTask | ForEach-Object { $t = $_
  $t.Actions | Where-Object { $_.Execute -and $_.Execute -notmatch '\\Microsoft\\|^[Cc]:\\Windows\\' } |
    ForEach-Object { [pscustomobject]@{ TaskPath=$t.TaskPath; TaskName=$t.TaskName
      Execute=$_.Execute; Arguments=$_.Arguments; Author=$t.Author } } } | Format-List

2.6 C:\inetpub 与远程桌面痕迹

2.7 ★ 取证优先级排序

镜像上百 GB 时不能无差别提取。按证据密度排序：