登录进程为advapi

零、约定
       为方便后文叙述，不妨假设：软件学院服务器的本地管理员账户是：administrator。

一、缘起
       昨日软件学院网站无法访问，后来发现是权限问题，配置后恢复正常。然解决途中，偶尔看到事件查看器中，有本地管理员administrator登陆系统的记录；但是经过询问，发现知道管理员密码的维护人员都没有在该时间登陆服务器。故因而生疑。

二、情况描述
1）事件查看器中记录：
       来源：Security ；时间：3：00：00 ；类别：登录/注销 ；类型：审核成功 ；事件ID：528 ；用户：administrator
       描述：
       登录类型:  4 ；登录进程:  Advapi ；身份验证数据包:  Negotiate ；源网络地址: - ；源端口：- 。
2）发现：每天3：00，都有此登录消息记录。
3）从微软官方技术帮助文章得证，事件ID528是登录Windows桌面的ID记录。（详见/hope/Education/ShowArticle.asp?ArticleID=4142）
4）无法跟踪到源网络地址（IP）。
5）服务器上每天3：00会进行ntbackup计划任务，登录事件有可能与之相关。

三、查看过程
1）对比远程登录信息（测试地方：工作站），发现其他信息都一致，不同的在于：
       远程登录信息为：登录类型：10 ；登录进程:  User32 ；源网络地址: 202.116.83.214 ；源端口：4351 。
2）于是百度“登录进程:  Advapi”，未果；后来在微软官网上看到关于“登录进程:  Advapi”的解释——API call to LogonUser。
（详见/hope/Education/ShowArticle.asp?ArticleID=4142）。
3）无独有偶，后来无意间在50上看到了相同的的登录事件，而且记录是每三个小时一次，这个与50上面的桌面信息更新的任务计划时间刚好吻合；而在ss上，每天3：00则刚好是Ntbackup的任务计划的时间。
4）因此，加上微软的官方解释，推断软件学院服务器上和50上的登录（EventID为528，登录用户为管理员，登录进程为advapi）皆为由于任务计划调用了API，而“API则调用了LogonUser（管理员）(API call to LogonUser)”，从而产生了登录事件。
5）后来百度“登录类型”，得到了进一步验证：（/hope/Education/ShowArticle.asp?ArticleID=4140）
a、此次登录信息为：登录类型4：对应于批处理（Batch），即“计划任务服务”
b、远程测试登录信息为：登录类型10：远程交互（RemoteInteractive）。

四、结论
       软件学院上每天三点的本地管理员administrator登陆系统的记录，乃每天三点的NtBackup的计划任务服务执行从而调用登录的缘故。

相关文章：
Windows登录类型
/hope/Education/ShowArticle.asp?ArticleID=4140
审核用户身份验证
/hope/Education/ShowArticle.asp?ArticleID=4142

转载于:https://www.cnblogs.com/nixiwang/p/4691226.html