Question

平台：带有Perl的Windows 2003 我正在研究如何从IIS日志文件中删除用户ID。然后找出该用户做了什么。上传的文件，CWD ......这样的事情。有[uniqu_ID]用户ID。如何检索该ID并搜索它所执行的操作。请帮忙。

Answer 1

日志解析器功能强大，功能多样提供通用查询的工具访问基于文本的数据，如日志文件，XML文件和CSV文件，如以及关键数据来源 Windows®等操作系统事件日志，注册表，文件系统和ActiveDirectory®。

Answer 2

我在Windows 2003 Server here上找到了一个IIS日志文件的示例。不过，请发布您自己的示例日志行。

192.168.114.201, -, 03/20/01, 7:55:20, W3SVC2, SERVER, 172.21.13.45, 4502, 163, 3223, 200, 0, GET, /DeptLogo.gif, -,

由于这只是一个逗号分隔文件，因此您可以通过几种不同的方式访问此处。如果您的计算机上安装了Text::CSV，则可以使用{{3}}。如果没有，这是一个简单的例子。

use strict;
use warnings;
use Data::Dumper;

my $user = {}; # we will store the actions in here

# This is what the log file looks like when split into an array
# 0: Client IP address
# 1: User name
# 2: Date
# 3: Time
# 4: Service and instance
# 5: Server name
# 6: Server IP
# 7: Time taken
# 8: Client bytes sent
# 9: Server bytes sent
# 10: Service status code
# 11: Windows status code
# 12: Request type
# 13: Target of operation
# 14: Parameters

open $log, '<', 'path/to/logfile.log';
while (my $line = <$log>) {
  my @fields = split /, /, $line; # split on comma and space
  # you'll get an array of actions for each user
  push @{ $user->{$fields[1]} }, "$fields[12] $fields[13]";  
  # or more specific:
#   push @{ $user->{$fields[1]} }, { 
#     'time' => $fields[3],
#     'action' => $fields[12],
#     'target' => $fields[13],
#   };
}
close $log;

print Dumper $user; # lets have a look

# More stuff to do with the data here...

这是输出：

$VAR1 = {
          '-' => [
                   'GET /DeptLogo.gif'
                 ]
        };

然后，您可以将$user的内容写入另一个文件或一组文件。

foreach my $u (sort keys %$user) {
  print "$u\r\n";
  foreach $action (@{ $user->{$u} }) {
    print "$action\r\n";
  }
}

解析Windows Server 2003上的日志以查找用户操作

2 个答案: