Windows痕迹清除
事件查看器:在命令运行窗口输入eventvwr.msc命令打开Windows事件查看器,或在控制面板管理工具中打开事件查看器。
Windows事件管理工具为wevtutil.exe(https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil),攻击者可以在后台使用wevtutil工具清除某类日志或者修改该类日志的配置,达到隐蔽攻击痕迹的目的。
应用程序日志、安全、系统日志是Windows系统中三个核心日志,默认大小为20480KB,
Windows 7 日志文件默认存放位置为C:\Windows\System32\winevt\Logs。当存储的事件日志超过20M时,系统将会覆盖旧的事件日志。
1、双击相应事件即可查看该事件属性
2、创建管理员账号backdoor在目标系统中留下的日志文件如下:
4720, 4722, 4723, 4724, 4725, 4726, 4738等事件ID表示用户账号的改变,比如用户账号的创建,删除,和改变密码等。
3、使用该账号登录目标系统时,在目标系统中留下的日志文件如下:
事件ID为4624的表示所有用户登录成功事件,4625表示用户登录失败事件,尝试查看4625事件的详细信息,检查系统是否有登录失败的事件。
此外系统还会记录注册表、防火墙、对象访问等事件日志。
系统日志清除
1、使用工具wevtutil.exe。下载地址:https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil
2、修改日志配置:
按需要覆盖事件(旧事件优先):表示当日志文件达到上限时,会把一些旧的日志文件记录删除掉,以存储新的日志信息。
不覆盖事件:表示当日志文件达到上限值之后,系统不会继续记录新的事件信息。需要系统管理员手工清楚日志文件后,系统才会记录记录日志信息。
wevtutil sl System /ms:10485760 /rt:true
wevtutil gl system /f:text
config.xml
<?xml version="1.0" encoding="UTF-8"?>
<channel name="System" isolation="System"
xmlns="http://schemas.microsoft.com/win/2004/08/events">
<logging>
<retention>true</retention>
<autoBackup>false</autoBackup>
<maxSize>10485760</maxSize>
</logging>
<publishing>
</publishing>
</channel>
3、甚至可以关闭日志记录:
示例清除系统日志:
wevtutil sl "Microsoft-Windows-Windows Firewall With Advanced Security/Firewall" /e:false
wevtutil cl "System"
meterpreter清除日志:
修改文件的访问时间:
timestomp test_1.txt -f test.txt