论安全萌新的自我修养

   :: 首页  :: 新随笔  :: 联系 :: 订阅 订阅  :: 管理

windows痕迹清理

日志路径:

系统日志:%SystemRoot%\System32\Winevt\Logs\System.evtx
安全日志:%SystemRoot%\System32\Winevt\Logs\Security.evtx
应用程序日志:%SystemRoot%\System32\Winevt\Logs\Application.evtx

日志在注册表的键:HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\Eventlog

清理方式

进入事件查看器,右侧清除日志

效果如下:

命令行清除

PowerShell -Command "& {Clear-Eventlog -Log Application,System,Security}"

Get-WinEvent -ListLog Application,Setup,Security -Force | % {Wevtutil.exe cl $_.Logname}

脚本停止日志的记录

通过该脚本遍历事件日志服务进程(专用svchost.exe)的线程堆栈,并标识事件日志线程以杀死事件日志服务线程。

github项目地址:https://github.com/hlldz/Invoke-Phant0m

单条日志清除

github项目地址:https://github.com/QAX-A-Team/EventCleaner

日志伪造

伪造日志或者使用自定义的大量垃圾信息覆盖现有日志
eventcreate -l system -so administrator -t warning -d "this is a test" -id 500

IIS相关

日志路径:
%SystemDrive%\inetpub\logs\LogFiles\W3SVC1\

清除WWW日志:
停止服务:net stop w3svc
删除日志目录下所有文件:del *.*
启用服务:net start w3svc

利用Windows自带命令进行安全擦除

Shift+Delete快捷键永久删除

直接删除文件,还是能在回收站找到的,使用Shift+Delete快捷键可以直接永久删除了。但是用数据恢复软件,删除的文件尽快恢复,否则新的文件存入覆盖了原来的文件痕迹就很难恢复了。

Cipher 命令多次覆写

在删除文件后,可以利用Cipher 命令通过 /W 参数可反复写入其他数据覆盖已删除文件的硬盘空间,彻底删除数据防止被恢复。
cipher /w:C:\tools 

Format命令覆盖格式化

Format 命令加上 /P 参数后,就会把每个扇区先清零,再用随机数覆盖。而且可以覆盖多次。比如:
format D: /P:8
这条命令表示把 D 盘用随机数覆盖 8 次。

清除远程桌面连接记录

当通过本机远程连接其他客户端或服务器后,会在本机存留远程桌面连接记录。代码保存为clear.bat文件,双击运行即可自动化清除远程桌面连接记录。
@echo off
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
cd %userprofile%\documents\
attrib Default.rdp -s -h
del Default.rdp

Metasploit 痕迹清除

查看事件日志
meterpreter > run event_manager -i  
清除事件日志(包括六种日志类型)
meterpreter > run event_manager -c
另外,也可以输入clearv命令清除目标系统的事件日志(仅包含三种日志类型)
meterpreter > clearev 
posted on 2020-12-13 16:40  Yangsir34  阅读(507)  评论(0编辑  收藏  举报