Windows痕迹清除(wevtutil.exe、meterpreter)

Windows痕迹清除

事件查看器：在命令运行窗口输入eventvwr.msc命令打开Windows事件查看器，或在控制面板管理工具中打开事件查看器。

Windows事件管理工具为wevtutil.exe（https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil），攻击者可以在后台使用wevtutil工具清除某类日志或者修改该类日志的配置，达到隐蔽攻击痕迹的目的。

应用程序日志、安全、系统日志是Windows系统中三个核心日志，默认大小为20480KB，

Windows 7 日志文件默认存放位置为C:\Windows\System32\winevt\Logs。当存储的事件日志超过20M时，系统将会覆盖旧的事件日志。

1、双击相应事件即可查看该事件属性

2、创建管理员账号backdoor在目标系统中留下的日志文件如下：

4720, 4722, 4723, 4724, 4725, 4726, 4738等事件ID表示用户账号的改变，比如用户账号的创建，删除，和改变密码等。

3、使用该账号登录目标系统时，在目标系统中留下的日志文件如下：

事件ID为4624的表示所有用户登录成功事件，4625表示用户登录失败事件，尝试查看4625事件的详细信息，检查系统是否有登录失败的事件。

此外系统还会记录注册表、防火墙、对象访问等事件日志。

系统日志清除

1、使用工具wevtutil.exe。下载地址：https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil

2、修改日志配置：

按需要覆盖事件(旧事件优先)：表示当日志文件达到上限时，会把一些旧的日志文件记录删除掉，以存储新的日志信息。

不覆盖事件:表示当日志文件达到上限值之后，系统不会继续记录新的事件信息。需要系统管理员手工清楚日志文件后，系统才会记录记录日志信息。

wevtutil sl System /ms:10485760 /rt:true
wevtutil gl system /f:text

config.xml

<?xml version="1.0" encoding="UTF-8"?>
<channel name="System" isolation="System"
         xmlns="http://schemas.microsoft.com/win/2004/08/events">
  <logging>
    <retention>true</retention>
    <autoBackup>false</autoBackup>
    <maxSize>10485760</maxSize>
  </logging>
  <publishing>
  </publishing>
</channel>

3、甚至可以关闭日志记录：

示例清除系统日志：

wevtutil sl "Microsoft-Windows-Windows Firewall With Advanced Security/Firewall" /e:false
wevtutil cl "System"

meterpreter清除日志：

修改文件的访问时间：

 timestomp test_1.txt -f test.txt