Log Parser 微软强大的日志分析工具

Log Parser（微软网站下载）是微软公司出品的日志分析工具，它功能强大，使用简单，能够分析基于文本的日志文件、XML 文件、CSV（逗号分隔符）文件，以及操做系统的事件日志、注册表、文件系统、Active Directory。它能够像使用 SQL 语句同样查询分析这些数据，甚至能够把分析结果以各类图表的形式展示出来。

Log Parser 的安装很简单，没有什么特别的，安装以后，能够在安装目录下找到 LogParser.chm 这个文件，该文件是 LogParser 的帮助文件，为英语语言。

咱们简单介绍一下在命令提示符中如何使用 Log Parser。

LogParser.exe 为可执行文件，后跟一个使用 SQL 结构的语句参数进行查询。

C:\Program Files\Log Parser 2.2>LogParser "SELECT TOP 10 * FROM System ORDER BY RecordNumber DESC"

从系统日志（能够从事件查看器中找到）中，选出按 RecordNumber 逆序的前 10 条记录。RecordNumber 是 System 中的一个字段。

咱们也能够生成图表：

C:\Program Files\Log Parser 2.2>LogParser "SELECT EventID, Count(*) as 出现次数 INTO Chart.gif FROM System GROUP BY EventID" -chartType:PieExploded3D -groupSize:500x350 -chartTitle:"事件分类"

上述代码中还加了其它参数来肯定图表的类型、大小等，获得相似以下图表：

是否是很是的简单，并且很振奋人心，不过这些都不是咱们介绍的重点，咱们的重点是如何利用 C# 去执行 Log Parser。

经过 .NET Framework 的 COM interop （COM 交互操做）特性，能够很方便地在 .NET 应用程序中使用 Log Parser，.NET Framework 的 COM interop 是经过 Runtime Callable Wrappers (RCW) 来实现对 COM 的操做的，RCW 是 .NET 中的一个类。

咱们用 Log Parser 和 C# 打造网站访问统计分析系统，就是用 C# 调用 Log Parser，利用 Log Parser 去分析 IIS 的日志文件。咱们这里的日志文件是 W3C 格式的。

程序

咱们创建一个 .cs 文件，引入：

using LogQuery = Interop.MSUtil.LogQueryClassClass; using IISInputFormat = Interop.MSUtil.COMIISW3CInputContextClassClass; using LogRecordSet = Interop.MSUtil.ILogRecordset;

类中关键代码以下：

LogQuery oLogQuery = new LogQuery(); IISInputFormat oIISInputFormat = new IISInputFormat(); string query = @"SELECT COUNT(DISTINCT c-ip) AS hits                   FROM 'C:\WINDOWS\system32\Logfiles\W3SVC1\ex070820.log'                   WHERE cs-uri-stem like '%.asp'                   AND sc-status=200"; LogRecordSet oRecordSet = oLogQuery.Execute(query, oIISInputFormat); if (!oRecordSet.atEnd()) {     hits = (int)oRecordSet.getRecord().getValue("hits"); } oRecordSet.close();

看得出来跟使用数据库没有多大区别，查询语句中 c-ip、cs-uri-stem、sc-status 等都是日志文件的字段，直接打开日志文件能够找到这些内容。

编译

程序就完成了，不过还不能直接运行，咱们还要对它编译，咱们这里是编译成 exe，固然您也能够把它编译成一个 DLL，供 ASP.NET 一类的文件调用。

须要两步，第一步：

C:\Program Files\Microsoft Visual Studio 8\SDK\v2.0\Bin\TlbImp.exe C:\Program Files\Log Parser 2.2\LogParser.dll /out:E:\Interop.MSUtil.dll

直接下载 Interop.MSUtil.dll。

TlbImp 全称是 Type Library Importer，它是用于建立 RCW，它一般位于 .NET Framework 的 Bin 目录下。

若是您使用的是 Visual Studio 2005，也能够不使用命令提示符的方式，而在工程中直接导入。

第二步：

C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\csc /target:exe /reference:E:\Interop.MSUtil.dll /out:E:\logAnal.exe E:\logAnal.cs

logAnal.cs 是咱们前面写的程序，logAnal.exe 是要生成的 exe 文件，Interop.MSUtil.dll 是前面生成的 DLL。

完成了

就是这么简单，没有什么复杂的，经过改变查询语句，能够实现多种统计。

 

一、导出为execl能打开的格式 logparser -i:evt -o:csv "select * from c:\sec.evt" > d:sec.csv logparser -i:evt -o:csv "select * from security" > d:sec.csv logparser -i:evt -o:nat "select * into a.txt from security"

logparser -i:evt -o:csv "select TimeGenerated,EventID,Message from c:\sec.evt" > d:sec.csv

logparser -i:evt -o:TPL -tpl:EventLogs.tpl "select * into b.html from d:\sec.evt"

使用条件语句： SELECT TimeGenerated, EventTypeName, SourceName FROM System WHERE ( SourceName = 'Service Control Manager' AND EventID >= 7024) OR       ( SourceName = 'W32Time')

SELECT * FROM Security WHERE Message LIKE '%logon%'

A、在iis日志中搜索特殊连接 LogParser -o:csv "SELECT * into a.csv FROM iis.log where EXTRACT_EXTENSION(cs-uri-stem) LIKE 'asp'"

B、最经典的例子，对日志中的url进行归并统计 LogParser -o:csv "SELECT cs-uri-stem, COUNT(*) into a.csv FROM iis.log GROUP BY cs-uri-stem"

c、统计全部日志 LogParser -o:csv "SELECT cs-uri-stem, COUNT(*)into a.csv FROM ex*.log GROUP BY cs-uri-stem" LogParser -i:iisw3c -o:csv "SELECT cs-uri-stem, COUNT(*)into a.csv FROM *.log GROUP BY cs-uri-stem"

d、对文件后缀进行排名 LogParser -i:iisw3c -o:csv "SELECT EXTRACT_EXTENSION(cs-uri-stem) AS PageType, COUNT(*) into a.cssv FROM *.log GROUP BY PageType"

e、获得全部的不重复的连接 LogParser -i:iisw3c -o:csv "SELECT distinct cs-uri-stem into a.csv FROM *.log"

 

 

二、生成百分比饼图 LogParser "SELECT EventID, COUNT(*) AS Times INTO Chart.gif FROM d:\tmp\sec.evt GROUP BY EventID ORDER BY Times DESC" -chartType:PieExploded3D -chartTitle:"Status Codes"

 

三、http日志 LogParser file:querytop.sql -o:chart -chartType:Bar3d -chartTitle:"TOP 10 URL"

querytop.sql： SELECT TOP 10 cs-uri-stem AS Url,    COUNT(*) AS Hits INTO Urls.gif FROM <1> GROUP BY Url ORDER BY Hits DESC

 

 

四、在html页面里找关键字 Return the lines in an HTML document that contain links to other pages: LogParser "SELECT Text FROM http://www.microsoft.adatum.com WHERE Text LIKE '%href%'" -i:TEXTLINE

 

 

五、MD5 Hashes of System Files LogParser "SELECT Path, HASHMD5_FILE(Path) into a.txt FROM C:\Windows\System32\*.exe" -i:FS -recurse:0

 

 

六、Print the 10 largest files on the C: drive: LogParser "SELECT TOP 10 Path, Name, Size FROM C:\*.* ORDER BY Size DESC" -i:FS

 

 

七、得到本机登录账户的查看 LogParser.exe -o:nat "SELECT RESOLVE_SID(Sid) AS Account FROM Security WHERE EventID IN (540; 528)"

 

 

八、得到系统日志的分类详细信息 LogParser "SELECT DISTINCT SourceName, EventID,SourceName,message INTO Event_*.csv FROM security" -i:EVT -o:CSV LogParser "SELECT DISTINCT SourceName, EventID,SourceName,message INTO Event_*.csv FROM System" -i:EVT -o:CSV 根据id分类 LogParser "SELECT DISTINCT eventid, EventID,SourceName,message INTO Event_*.csv FROM System" -i:EVT -o:CSV LogParser "SELECT DISTINCT eventid, EventID,SourceName,message INTO Event_*.csv FROM security" -i:EVT -o:CSV

 

 

九、生成图形界面日志 LogParser "SELECT 'Event ID:', EventID, SYSTEM_TIMESTAMP(),message FROM security" -i:EVT -o:datagrid

 

 

十、生成一个Web页面 LogParser file:d:\EventLogs.sql?EventLog=security -o:TPL -tpl:d:\EventLogs.tpl LogParser file:d:\EventLogs.sql?EventLog=system -o:TPL -tpl:d:\EventLogs.tpl

 

 

十一、在iis日志里

查看返回代码分布饼图 LogParser "SELECT sc-status, COUNT(*) AS Times INTO Chart.gif FROM iis.log GROUP BY sc-status ORDER BY Times DESC" -chartType:PieExploded3D -chartTitle:"Status Codes"

 

 

 

十二、在全部日志中手机前10位的排名 LogParser file:querytop.sql -o:chart -chartType:Bar3d -chartTitle:"TOP 10 URL"

querytop.sql：

SELECT TOP 10 cs-uri-stem AS Url,    COUNT(*) AS Hits INTO Urls.gif FROM ex*.log GROUP BY Url ORDER BY Hits DESC

 

 

 

1三、检索目录下全部文件的全部的信息 logparser "select * into a.csv from c:\x-scan\*.*" -i:fs -o:csv

查看每一个源IP发了多少个包 LogParser "SELECT srcip ,count(*) into a.csv FROM a.cap group by srcip" -fmode:tcpip -o:csv

查看每一个源端口的包的个数 LogParser "SELECT srcport ,count(*) into a.csv FROM a.cap group by srcport" -fmode:tcpip -o:csv

归并全部srcip,dstip,srcport同样的包，获得个数 LogParser "SELECT srcip,dstip,srcport ,count(*) into a.csv FROM a.cap group by srcip,dstip,srcport" -fmode:tcpip -o:csv

归并全部tcpflags的包 LogParser "SELECT srcip,srcport,dstip,dstport,tcpflags,count(*) into a.csv FROM a.cap where tcpflags='AF' group by srcip,srcport,dstip,dstport,tcpflags" -fmode:tcpip -o:csv

tcpflags的分布饼图 LogParser "SELECT tcpflags,count(*) into a.gif FROM a.cap group by tcpflags " -fmode:tcpip -chartType:PieExploded3D -chartTitle:"Status Codes" LogParser "SELECT tcpflags,count(*) into a.csv FROM a.cap group by tcpflags " -fmode:tcpip -o:csv