Windows痕迹清除:
1、事件查看器:在命令运行窗口输入eventvwr.msc命令打开Windows事件查看器,或在控制面板 管理工具中打开事件查看器
Windows事件管理工具为wevtutil.exe(https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil),攻击者可以在后台使用wevtutil工具清除某类日志或者修改该类日志的配置,达到隐蔽攻击痕迹的目的。
应用程序日志、安全、系统日志是Windows系统中三个核心日志,默认大小为20480KB,Windows 7 日志文件默认存放位置为C:\Windows\System32\winevt\Logs。当存储的事件日志超过20M时,系统将会覆盖旧的事件日志。
双击相应事件即可查看该事件属性
6.1节创建管理员账号backdoor在目标系统中留下的日志文件如下:
4720, 4722, 4723, 4724, 4725, 4726, 4738等事件ID表示用户账号的改变,比如用户账号的创建,删除,和改变密码等。
使用该账号登录目标系统时,在目标系统中留下的日志文件如下:
事件ID为4624的表示所有用户登录成功事件,4625表示用户登录失败事件,尝试查看4625事件的详细信息,检查系统是否有登录失败的事件。
此外系统还会记录注册表、防火墙、对象访问等事件日志。
系统日志清除:
1.使用工具wevtutil.exe:https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil
修改日志配置:
按需要覆盖事件(旧事件优先):表示当日志文件达到上限时,会把一些旧的日志文件记录删除掉,以存储新的日志信息。
不覆盖事件:表示当日志文件达到上限值之后,系统不会继续记录新的事件信息。需要系统管理员手工清楚日志文件后,系统才会记录记录日志信息。
wevtutil sl System /ms:10485760 /rt:true
wevtutil gl system /f:text
config.xml
<?xml version="1.0" encoding="UTF-8"?>
<channel name="System" isolation="System"
xmlns="http://schemas.microsoft.com/win/2004/08/events">
<logging>
<retention>true</retention>
<autoBackup>false</autoBackup>
<maxSize>10485760</maxSize>
</logging>
<publishing>
</publishing>
</channel>
甚至可以关闭日志记录:
示例清除系统日志:
wevtutil sl "Microsoft-Windows-Windows Firewall With Advanced Security/Firewall" /e:false
wevtutil cl "System"
meterpreter清除日志:
修改文件的访问时间:
timestomp test_1.txt -f test.txt
清除浏览器痕迹:
以IE浏览器为例,痕迹的默认存放位置为:C:\Users\Ro\AppData\Local\Microsoft\Windows\Temporary Internet Files,
注:该目录默认具有隐藏属性,Windows7为例,打开Windows资源管理器,在顶部左侧选择“组织”菜单,选择菜的菜单下的“文件夹和搜索选项”,在弹出的窗口中点击“查看”选项卡,勾掉“隐藏受保护的操作系统文件”,并选择“显示隐藏的文件、文件夹和驱动器即可。
可使用del * /s /q或rd命令直接删除该目录下的相应文件。或者使用RunDll32.exe程序运行IE浏览器配置文件InetCPL.cpl进行清除。
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 1 //清除历史记录
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 2 //清除Cookies
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 8 //清除Internet临时文件
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 16 //清除表单数据
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 32 //清除密码
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 255 //清除全部项目
Google Chrome浏览器痕迹存放目录位于:%userprofile%AppData\Local\Google\Chrome\User Data\Default
注:%userprofile% =C:\Users\用户名 可在Chrome浏览器的地址栏中输入chrome://version/查看资料保存路径。
Web服务器日志清除:
IIS日志:以Windows7为例,打开控制面板中的管理工具,选择Internet信息服务(IIS)管理器 或在命令运行窗口输入InetMgr.exe。
日志存放位置C:\inetpub\logs\LogFiles
Apache日志:
Apache服务器有访问日志(access.log)和错误日志(error.log),默认安装在/var/log/apache2/
主配置文件为/etc/apache2/apache2.conf,
APACHE_LOG_DIR变量在 /etc/apache2/envvars 中已被定义
系统使用痕迹: