1. 事件日志文件是二进制文件,它有若干条记录单元组
成,其中最前面的是记录头,最后面的是记录尾。
2. 每条记录(包括记录头、记录尾)的头、尾的双字是
这条记录的长度(单位:字节)。如记录头48个字节
(0x30),记录就是
30 00 00 00 4C 66 4C 65 …… 30 00 00 00
注意这里是字节顺序:
30 00 00 00
W1L W1H W2L W2H
3.每条记录的第二个双字是特定的码 4C 66 4C 65
4.分析Windows API 日志存储数据结构。
typedef struct _EVENTLOGRECORD {
DWORD Length;
DWORD Rese