windows清理_Windows入侵痕迹清理技巧方法总结

zz/2024/4/13 13:40:55

为避免入侵行为被发现,攻击者总是会通过各种方式来隐藏自己,比如:隐藏自己的真实IP、清除系统日志、删除上传的工具、隐藏后门文件、擦除入侵过程中所产生的痕迹等。

5f897e2d32e75c71b8948eef4f058f32.png

01、Windows日志清除

windows 日志路径:

  1. 系统日志:%SystemRoot%System32WinevtLogsSystem.evtx
  2. 安全日志:%SystemRoot%System32WinevtLogsSecurity.evtx
  3. 应用程序日志:%SystemRoot%System32WinevtLogsApplication.evtx
  4. 日志在注册表的键:HKEY_LOCAL_MACHINEsystemCurrentControlSetServicesEventlog

windows 日志清除方式:

(1)最简单粗暴的方式

开始→运行,输入 eventvwr 进入事件查看器,右边栏选择清除日志。

(2)命令行一键清除Windows事件日志

  1. PowerShell -Command "& {Clear-Eventlog -Log Application,System,Security}"
  2. Get-WinEvent -ListLog Application,Setup,Security -Force | % {Wevtutil.exe cl $_.Logname}

(3)利用脚本停止日志的记录

通过该脚本遍历事件日志服务进程(专用svchost.exe)的线程堆栈,并标识事件日志线程以杀死事件日志服务线程。

因此,系统将无法收集日志,同时事件日志服务似乎正在运行。

项目地址:https://github.com/hlldz/Invoke-Phant0m

(4)Windows单条日志清除

该工具主要用于从Windows事件日志中删除指定的记录。

项目地址:https://github.com/QAX-A-Team/EventCleaner

(5)Windows日志伪造

使用eventcreate这个命令行工具来伪造日志或者使用自定义的大量垃圾信息覆盖现有日志。

  1. eventcreate -l system -so administrator -t warning -d "this is a test" -id 500

02、IIS日志

IIS默认日志路径:

  1. %SystemDrive%inetpublogsLogFilesW3SVC1

清除WWW日志:

  1. 停止服务:net stop w3svc
  2. 删除日志目录下所有文件:del *.*
  3. 启用服务:net start w3svc

03、利用Windows自带命令进行安全擦除

(1)Shift+Delete快捷键永久删除

直接删除文件,还是能在回收站找到的,使用Shift+Delete快捷键可以直接永久删除了。但是用数据恢复软件,删除的文件尽快恢复,否则新的文件存入覆盖了原来的文件痕迹就很难恢复了。

(2)Cipher 命令多次覆写

在删除文件后,可以利用Cipher 命令通过 /W 参数可反复写入其他数据覆盖已删除文件的硬盘空间,彻底删除数据防止被恢复。

比如,删除D:ools目录下的文件,然后执行这条命令:

  1. cipher /w:D:ools

这样一来,D 盘上未使用空间就会被覆盖三次:一次 0x00、一次 0xFF,一次随机数,所有被删除的文件就都不可能被恢复了。

(3)Format命令覆盖格式化

Format 命令加上 /P 参数后,就会把每个扇区先清零,再用随机数覆盖。而且可以覆盖多次。比如:

  1. format D: /P:8

这条命令表示把 D 盘用随机数覆盖 8 次。

04、清除远程桌面连接记录

当通过本机远程连接其他客户端或服务器后,会在本机存留远程桌面连接记录。代码保存为clear.bat文件,双击运行即可自动化清除远程桌面连接记录。

  1. @echo off
  2. reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientDefault" /va /f
  3. reg delete "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers" /f
  4. reg add "HKEY_CURRENT_USERSoftwareMicrosoftTerminal Server ClientServers"
  5. cd %userprofile%documents
  6. attrib Default.rdp -s -h
  7. del Default.rdp

05、Metasploit 痕迹清除

(1)查看事件日志

  1. meterpreter > run event_manager -i
  2. [*] Retriving Event Log Configuration
  3. Event Logs on System
  4. ====================
  5. Name Retention Maximum Size Records
  6. ---- --------- ------------ -------
  7. Application Disabled 20971520K 2149
  8. HardwareEvents Disabled 20971520K 0
  9. Internet Explorer Disabled K 0
  10. Key Management Service Disabled 20971520K 0
  11. Security Disabled 20971520K 1726
  12. System Disabled 20971520K 3555
  13. Windows PowerShell Disabled 15728640K 138

(2)清除事件日志(包括六种日志类型)

  1. meterpreter > run event_manager -c

(3)另外,也可以输入clearv命令清除目标系统的事件日志(仅包含三种日志类型)

  1. meterpreter > clearev
  2. [*] Wiping 4 records from Application...
  3. [*] Wiping 8 records from System...
  4. [*] Wiping 7 records from Security...

http://www.ngui.cc/zz/1995941.html

相关文章

mysql清除数据痕迹_MySQL使用痕迹清理~/.mysql_history-阿里云开发者社区

mysql会给出我们最近执行的SQL命令和脚本;同linux command保存在~/.bash_history一样,你用mysql连接MySQL server的所有操作也会被记录到~/.mysql_history文件中,这样就会有很大的安全风险了,如添加MySQL用户的sql也同样会被明文记…

计算机使用痕迹,彻底清除电脑使用痕迹的方法

当我们的电脑使用一段时间之后,系统会以各式各样的方式留下种种使用痕迹,很多朋友或许只知道清除浏览器中的记录,其实电脑还会在很多文件夹和文档中留下我们的使用记录,小编这里为大家带来的就是关于如何彻底清除电脑使用痕迹的方…

权限提升+权限维持+痕迹清理

windows提权 IIS-USER—>administrator 本地提权 AT提权——win7 at 17:27 /interactive cmd.exe SC提权——win7和win2008、win2003 #sc 创建 服务名称 程序路径空格"执行命令" 类型空格own sc Create syscmd binPath "cmd /K start" type own typ…

Windows入侵痕迹清理

Windows入侵痕迹清理 环境:Win10、Win7、Winxp虚拟机等 Windows日志 包括五个类别:应用程序、安全、Setup、系统、转发事件 查看方式 1、此电脑-右键管理-Windows日志 2、powershell(管理员权限) 查看所有日志:Get…

后渗透-痕迹清理

文章目录win修改文件时间戳linux修改文件时间戳清除history历史命令记录清除系统日志痕迹隐藏远程SSH登陆记录清除web入侵痕迹Linux删除登录日志和操作信息win 修改文件时间戳 有时我们登陆到服务器,对它的⽂件进行了修改,修改后的⽂件的时间戳会更新到…

java怎么清楚项目痕迹_Windows 入侵痕迹清理技巧

为避免入侵行为被发现,攻击者总是会通过各种方式来隐藏自己,比如:隐藏自己的真实IP、清除系统日志、删除上传的工具、隐藏后门文件、擦除入侵过程中所产生的痕迹等。01、Windows日志清除windows 日志路径:系统日志:%Sy…

内网渗透结束,痕迹清理必备手段

痕迹清理 在我们做完一系列的内网渗透操作后,必然会留下一些蛛丝马迹,因此我们需要给自己”擦屁股“。本篇只介绍如何清除系统日志、修改文件时间戳。 痕迹清理 Powershell 修改文件时间戳 有时候我们在登陆目标桌面后,根据需求可能会动用…

红队笔记之痕迹清理技术要点与实战方法总结

文章目录痕迹清理技术要点说明Windows痕迹清理Windows日志清理Windows日志相关基础知识Windows日志清理方法全量删除方法通过事件查看器删除通过PowerShell删除暴力删除日志文件使用wevtutil命令行删除msf一键清理定向清理方法删除最近数据删除某指定单条记录删除某指定多条记录…

后渗透痕迹清理记录

简介 渗透测试结束后,为了减少被发现和追溯的概率,有必要清除自己的攻击痕迹,这里注意记录一下自己收集记录的一些技巧,注意是清理掉访问日志等各种记录,愿用的上。 Windows日志清理 开始程序-->管理工具-->计算机管理--&g…

计算机操作痕迹清除,如何彻底清除电脑使用痕迹

1. 清除近使用过的文档记录:右键点击“开始”按钮,选择“属性”,在弹出的设置任务栏和开始菜单属性对话窗中点“自定义”按钮, “高级”标签下点“清除列表”2. 删除临时文件夹中的内容:手工清除在下列位置中的内容&am…