Hoe achterhalen wat bepaalde logfiles wegschreef? *

[sdk1985]

Is het mogelijk erachter te komen wel programma een bepaald bestand heeft aangemaakt...

Ik heb op de C schijf een aantal output.txt bestanden (5) waar min of meer alles gelogged blijkt te zijn:

output.txt (1539kb aan text...):

code:

15724
ret=0


MSCTFIME UI
Default IME
Tussen taken schakelen



MSCTFIME UI
Default IME

MSCTFIME UI
Default IME
Setup - Cities In Motion
Setup - Cities In Motion
Setup






Atilyo - Chat

MSCTFIME UI
Default IME
Cities.In.Motion.nfo - WordPad
DDE Server Window

MSCTFIME UI
Default IME
...
Tussen taken schakelen



CiceroUIWndFrame




Sebas
Menu Start
ts3client_win64
ts3client_win64
ts3client_win64
ts3client_win64
ts3client_win64
ts3client_win64
ts3client_win64



ts3client_win64
Jump List

Network Flyout


CiceroUIWndFrame
TF_FloatingLangBar_WndTitle
...

Start






CiceroUIWndFrame


SysFader








MSCTFIME UI
Default IME
MSCTFIME UI
Default IME









Crysis 2 komt mogelijk uit zonder Online Pass | Games | Tweakers.net Nieuws - Windows Internet Explorer

Crysis 2 komt mogelijk uit zonder Online Pass | Games | Tweakers.net Nieuws - Windows Internet Explorer
AcroStubUnloadWClass


....

output2.txt

code:

TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
TheWorld Browser
...

output3.txt

code:

TopBar
SideBar
BottomBar
MDI
TopBar
SideBar
BottomBar
MDI
TopBar
SideBar
BottomBar
MDI
TopBar
...

output4.txt

code:

20651456Internet Explorer_Server
Internet Explorer_Server
Internet Explorer_Server
Internet Explorer_Server
Internet Explorer_Server
Internet Explorer_Server
...

output5.txt

code:

Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1Admin= 1

Zou wellicht crash log kunnen zijn van een applicatie (cities in motion komt in de eerste vaak voor) maar lijkt me handig dit zeker te weten... 1tm4 zijn van 11-3-2011 0:24, 5 is van 10-3-2011 17:50.

[Voor 9% gewijzigd door sdk1985 op 28-05-2011 20:48]

[F_J_K]

Uitzoeken wat ze ooit heeft gemaakt is lastiger (als het niet uit de logfiles zelf blijkt) dan opletten wie er nu nog in leest of schrijft: dat laatste kan met (MS) Sysinternals Proces Monitor. Al suggereert de datum dat je er niets mee kunt: je natuurlijk de aanmaakdatum/tijd van een bestand heel simpel aanpassen. Maar de kans daarop is klein lijkt me..

Laat (wegens de suggestie van spyware-achtige zaken) wel even een fatsoenlijke virusscanner en evt. rootkit detector lopen en kijk ook zelf wat er aan processen draait.

Welk OS heb je? En als het direct in C:\ staat: voortaan niet meer met adminrechten werken. Nergens voor nodig.

offtopic:
"Programma te achterhalen" zegt wat weinig, ik pas de topictitel een beetje aan.

[sdk1985]

Bedankt voor je reactie. Windows 7 Home Premium x64 icm Norton Internet security 2011. UAC uitgeschakeld ivm geen behoefte aan virtuele mappen structuur (60gb c schijf).

Ik ga even googlen op Sysinternals Proces Monitor.

edit: heb een filter gemaakt met path contains output en output.txt is momenteel niet in gebruik.

[Voor 18% gewijzigd door sdk1985 op 29-05-2011 13:34]

[Anoniem: 304782]

F_J_K schreef op zondag 29 mei 2011 @ 13:06:
Uitzoeken wat ze ooit heeft gemaakt is lastiger (als het niet uit de logfiles zelf blijkt) dan opletten wie er nu nog in leest of schrijft: dat laatste kan met (MS) Sysinternals Proces Monitor. Al suggereert de datum dat je er niets mee kunt: je natuurlijk de aanmaakdatum/tijd van een bestand heel simpel aanpassen. Maar de kans daarop is klein lijkt me..

Laat (wegens de suggestie van spyware-achtige zaken) wel even een fatsoenlijke virusscanner en evt. rootkit detector lopen en kijk ook zelf wat er aan processen draait.

Welk OS heb je? En als het direct in C:\ staat: voortaan niet meer met adminrechten werken. Nergens voor nodig.

offtopic:
"Programma te achterhalen" zegt wat weinig, ik pas de topictitel een beetje aan.

Het is ook mogelijk om standaard in windows 7 te kijken welke programmas toegang hebben tot welk bestand op dat moment windows knop + r en dan typ je perfmon.exe /res
of ctrl + shift + esc performace -> resource monitor.

Ik denk dat dat ook het enigste is wat je kan doen.. of vergelijkbaar materiaal op google zoeken.