Skip to content

标题: MSDN系列(50)--Win10中的USB日志

创建: 2023-08-24 14:09 更新: 2023-08-27 15:19 链接: https://scz.617.cn/windows/202308241409.txt

目录:

☆ USBDriveLog
☆ USB日志
    1) 手工启用/禁用USB日志
    2) PowerShell查看USB日志
        2.1) Microsoft-Windows-Partition/Diagnostic
        2.3) Microsoft-Windows-Storsvc/Diagnostic
    3) eventvwr.msc查看USB日志
    4) wevtutil.exe查看USB日志
☆ 参考资源

☆ USBDriveLog

参[1]

USBDriveLog是第三方工具，将Win10、Win11内置USB日志以更人性化的方式展示出来。 该工具可查看U盘插入时间、拔出时间、容量、文件系统类型等等，还有许多可用作U 盘指纹的数据。一般关心这几列数据:

Serial Number // U盘序列号 Plug Time // U盘插入时间 Unplug Time // U盘拔出时间 Capacity // U盘容量(大小) File System // U盘文件系统类型

涉及USB设备取证场景时，USBDriveLog是一种选择。该工具只有一个EXE，无需安装， 便携。为了显示Vendor Name、Product Name，需要额外下载usb.ids，与EXE置于同 一目录。

缺省在线查看USB日志，但可以离线查看USB日志，只要找得着日志，比如这种位置:

X:\Windows\System32\winevt\Logs\Microsoft-Windows-Partition%4Diagnostic.evtx X:\Windows\System32\winevt\Logs\Microsoft-Windows-Storsvc%4Diagnostic.evtx

若日志位于C盘，需要管理员权限访问这两个文件，离线查看时无所谓。具体操作如 下:

File->Choose Data Source (F7)->Load from->External Folder

☆ USB日志

USBDriveLog只支持Win10及以上版本OS，更低版本Windows不被支持，因为只有高版 本Windows才有下列USB日志:

Microsoft-Windows-Partition/Diagnostic Microsoft-Windows-Storsvc/Diagnostic

它们有各自的.evtx文件

$ wevtutil.exe gl Microsoft-Windows-Partition/Diagnostic name: Microsoft-Windows-Partition/Diagnostic enabled: true ... logging: logFileName: %SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Partition%4Diagnostic.evtx retention: false ...

$ wevtutil.exe gl Microsoft-Windows-Storsvc/Diagnostic name: Microsoft-Windows-Storsvc/Diagnostic enabled: true ... logging: logFileName: %SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Storsvc%4Diagnostic.evtx retention: false ...

1) 手工启用/禁用USB日志

这两种日志缺省启用中，反取证时，可以考虑禁用USB日志:

wevtutil.exe sl Microsoft-Windows-Partition/Diagnostic /e:false wevtutil.exe sl Microsoft-Windows-Storsvc/Diagnostic /e:false

2) PowerShell查看USB日志

参[2]、[3]

2.1) Microsoft-Windows-Partition/Diagnostic

EventID为1006时对应U盘插入、拔出，要靠其他字段区分是哪种操作

$Filter = @{ LogName = 'Microsoft-Windows-Partition/Diagnostic' ID = 1006 StartTime = [datetime]::Today.AddDays(-30) EndTime = [datetime]::Today.AddDays(1) } $events = Get-WinEvent -FilterHashtable $Filter -ErrorAction SilentlyContinue | Where-Object { $.Properties[8].Value -ne 0 } $final = "" ForEach ( $event in $events ) { $final += "$($event.TimeCreated) $($event.Properties[13].Value) $([math]::Round($event.Properties[8].Value/1GB))GB $($event.Properties[68].Value) $($event.Properties[71].Value) " $final += $event.Properties[72].Value[0..2] | ForEach-Object { $.ToString("X2") } $final += "rn" } $final | Out-String

上述脚本查看最近30天内U盘拔插日志，显示下列字段:

TimeCreated SerialNumber Capacity PartitionCount MbrBytes Mbr

比如:

08/23/2023 17:34:34 0123456789ABCDE 59GB 0 0 // 拔出U盘 08/23/2023 15:41:49 0123456789ABCDE 59GB 4 512 FA 33 C0 // 插入U盘 08/23/2023 14:51:05 0123456789ABCDE 59GB 0 0 08/23/2023 14:48:36 0123456789ABCDE 59GB 4 512 FA 33 C0

Mbr字段有值时，只显示前3字节。部分MBR前3字节如下:

$ rasm2 -a x86 -b 32 -s intel -D "FA 33 C0" 0x00000000 1 fa cli 0x00000001 2 33c0 xor eax, eax

但MBR前3字节有许多其他变种。

Get-WinEvent支持-FilterXml，也即支持"XPath Filter"，靠Properties[i]过滤不 易维护，应该用"XPath Filter"。

2.3) Microsoft-Windows-Storsvc/Diagnostic

EventID为1001时对应U盘插入。

$Filter = @{ LogName = 'Microsoft-Windows-Storsvc/Diagnostic' ID = 1001 StartTime = [datetime]::Today.AddDays(-30) EndTime = [datetime]::Today.AddDays(1) } $events = Get-WinEvent -FilterHashtable $Filter -ErrorAction SilentlyContinue | Where-Object { $.Properties[12].Value -gt 0 -and $.Properties[7].Value -ne "" } $final = "" ForEach ( $event in $events ) { $final += "$($event.TimeCreated) $($event.Properties[5].Value) $([math]::Round($event.Properties[12].Value/1GB))GB $($event.Properties[7].Value)rn" } $final | Out-String

上述脚本查看最近30天内U盘插入日志，显示下列字段:

TimeCreated SerialNumber Size FileSystem

比如:

08/23/2023 15:41:51 0123456789ABCDE 59GB NTFS 08/23/2023 14:48:37 0123456789ABCDE 59GB NTFS

USBDriveLog.exe合并Partition与Storsvc日志，将U盘插入、拔出时间、文件系统等 信息在一行内显示，更直观。

3) eventvwr.msc查看USB日志

eventvwr.msc - Applications and Services Logs - Microsoft - Windows - Partition - Diagnostic Storsvc - Diagnostic

eventvwr.msc支持"XPath Filter"，比如:

Filter Current Log XML Edit query manually

若"XPath Filter"有语法错，会提示"The specified query is invalid"。

假设中有多个