设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [1017] 2020-09-09_Windows入侵痕迹清理技巧
返回列表 发新帖
查看: 11|回复: 0

[1017] 2020-09-09_Windows入侵痕迹清理技巧

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 7 天前 | 显示全部楼层 |阅读模式
2020-09-09_Windows入侵痕迹清理技巧 W i n d o w s   入 侵 痕 迹 清 理 技 巧 原 创   B y p a s s   B y p a s s   2 0 2 0 - 0 9 - 0 9 为 避 免 入 侵 行 为 被 发 现 ， 攻 击 者 总 是 会 通 过 各 种 方 式 来 隐 藏 自 己 ， 比 如 ： 隐 藏 自 己 的 真 实 I P 、 清 除 系 统 日 志 、 删 除 上 传 的 工 具 、 隐 藏 后 门 文 件 、 擦 除 入 侵 过 程 中 所 产 生 的 痕 迹 等 。 0 1 、 、 W i n d o w s 日 志 清 除 日 志 清 除 w i n d o w s   日 志 路 径 ： 日 志 路 径 ： w i n d o w s   日 志 清 除 方 式 ： 日 志 清 除 方 式 ： （ （ 1 ） 最 简 单 粗 暴 的 方 式 ） 最 简 单 粗 暴 的 方 式 开 始 → 运 行 , 输 入     进 入 事 件 查 看 器 ， 右 边 栏 选 择 清 除 日 志 。 （ （ 2 ） 命 令 行 一 键 清 除 ） 命 令 行 一 键 清 除 W i n d o w s 事 件 日 志 事 件 日 志 （ （ 3 ） 利 用 脚 本 停 止 日 志 的 记 录 ） 利 用 脚 本 停 止 日 志 的 记 录 通 过 该 脚 本 遍 历 事 件 日 志 服 务 进 程 （ 专 用 s v c h o s t . e x e ） 的 线 程 堆 栈 ， 并 标 识 事 件 日 志 线 程 以 杀 死 事 件 日 志 服 务 线 程 。 因 此 ， 系 统 将 无 法 收 集 日 志 ， 同 时 事 件 日 志 服 务 似 乎 正 在 运 行 。 （ （ 4 ） ） W i n d o w s 单 条 日 志 清 除 单 条 日 志 清 除 该 工 具 主 要 用 于 从 W i n d o w s 事 件 日 志 中 删 除 指 定 的 记 录 。 （ （ 5 ） ） W i n d o w s 日 志 伪 造 日 志 伪 造 系 统 日 志 ： % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s S y s t e m . e v t x 安 全 日 志 ： % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s S e c u r i t y . e v t x 应 用 程 序 日 志 ： % S y s t e m R o o t % S y s t e m 3 2 W i n e v t L o g s A p p l i c a t i o n . e v t x 日 志 在 注 册 表 的 键 ： H K E Y _ L O C A L _ M A C H I N E s y s t e m C u r r e n t C o n t r o l S e t S e r v i c e s E v e n t l o g e v e n t v w r P o w e r S h e l l   - C o m m a n d   " &   { C l e a r - E v e n t l o g   - L o g   A p p l i c a t i o n , S y s t e m , S e c u r i t y } " G e t - W i n E v e n t   - L i s t L o g   A p p l i c a t i o n , S e t u p , S e c u r i t y   - F o r c e   |   %   { W e v t u t i l . e x e   c l   $ _ . L o g n a m e } g i t h u b 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / h l l d z / I n v o k e - P h a n t 0 m g i t h u b 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / Q A X - A - T e a m / E v e n t C l e a n e r
使 用 e v e n t c r e a t e 这 个 命 令 行 工 具 来 伪 造 日 志 或 者 使 用 自 定 义 的 大 量 垃 圾 信 息 覆 盖 现 有 日 志 。 0 2 、 、 I I S 日 志 日 志 I I S 默 认 日 志 路 径 ： 清 除 W W W 日 志 ： 0 3 、 利 用 、 利 用 W i n d o w s 自 带 命 令 进 行 安 全 擦 除 自 带 命 令 进 行 安 全 擦 除 （ （ 1 ） ） S h i f t + D e l e t e 快 捷 键 永 久 删 除 快 捷 键 永 久 删 除 直 接 删 除 文 件 ， 还 是 能 在 回 收 站 找 到 的 ， 使 用 S h i f t + D e l e t e 快 捷 键 可 以 直 接 永 久 删 除 了 。 但 是 用 数 据 恢 复 软 件 ， 删 除 的 文 件 尽 快 恢 复 ， 否 则 新 的 文 件 存 入 覆 盖 了 原 来 的 文 件 痕 迹 就 很 难 恢 复 了 。 （ （ 2 ） ） C i p h e r   命 令 多 次 覆 写 命 令 多 次 覆 写 在 删 除 文 件 后 ， 可 以 利 用 C i p h e r   命 令 通 过   / W   参 数 可 反 复 写 入 其 他 数 据 覆 盖 已 删 除 文 件 的 硬 盘 空 间 ， 彻 底 删 除 数 据 防 止 被 恢 复 。 比 如 ， 删 除 目 录 下 的 文 件 ， 然 后 执 行 这 条 命 令 ： 这 样 一 来 ， D   盘 上 未 使 用 空 间 就 会 被 覆 盖 三 次 ： 一 次   0 x 0 0 、 一 次   0 x F F ， 一 次 随 机 数 ， 所 有 被 删 除 的 文 件 就 都 不 可 能 被 恢 复 了 。 （ （ 3 ） ） F o r m a t 命 令 覆 盖 格 式 化 命 令 覆 盖 格 式 化 F o r m a t   命 令 加 上   / P   参 数 后 ， 就 会 把 每 个 扇 区 先 清 零 ， 再 用 随 机 数 覆 盖 。 而 且 可 以 覆 盖 多 次 。 比 如 ： 这 条 命 令 表 示 把   D   盘 用 随 机 数 覆 盖   8   次 。 0 4 、 清 除 远 程 桌 面 连 接 记 录 、 清 除 远 程 桌 面 连 接 记 录 当 通 过 本 机 远 程 连 接 其 他 客 户 端 或 服 务 器 后 ， 会 在 本 机 存 留 远 程 桌 面 连 接 记 录 。 代 码 保 存 为 文 件 ， 双 击 运 行 即 可 自 动 化 清 除 远 程 桌 面 连 接 记 录 。 e v e n t c r e a t e   - l   s y s t e m   - s o   a d m i n i s t r a t o r   - t   w a r n i n g   - d   " t h i s   i s   a   t e s t "   - i d   5 0 0 % S y s t e m D r i v e % i n e t p u b l o g s L o g F i l e s W 3 S V C 1 停 止 服 务 ： n e t   s t o p   w 3 s v c 删 除 日 志 目 录 下 所 有 文 件 ： d e l   * . * 启 用 服 务 ： n e t   s t a r t   w 3 s v c D : t o o l s c i p h e r   / w : D : t o o l s f o r m a t   D :   / P : 8 c l e a r . b a t @ e c h o   o f f
0 5 、 、 M e t a s p l o i t   痕 迹 清 除 痕 迹 清 除 （ 1 ） 查 看 事 件 日 志 （ 3 ） 另 外 ， 也 可 以 输 入 c l e a r v 命 令 清 除 目 标 系 统 的 事 件 日 志 （ 仅 包 含 三 种 日 志 类 型 ） @ e c h o   o f f r e g   d e l e t e   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t D e f a u l t "   / v a   / f r e g   d e l e t e   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t S e r v e r s "   / f r e g   a d d   " H K E Y _ C U R R E N T _ U S E R S o f t w a r e M i c r o s o f t T e r m i n a l   S e r v e r   C l i e n t S e r v e r s " c d   % u s e r p r o f i l e % d o c u m e n t s a t t r i b   D e f a u l t . r d p   - s   - h d e l   D e f a u l t . r d p m e t e r p r e t e r   >   r u n   e v e n t _ m a n a g e r     - i       [ * ]   R e t r i v i n g   E v e n t   L o g   C o n f i g u r a t i o n E v e n t   L o g s   o n   S y s t e m = = = = = = = = = = = = = = = = = = = =   N a m e                                         R e t e n t i o n     M a x i m u m   S i z e     R e c o r d s   - - - -                                         - - - - - - - - -     - - - - - - - - - - - -     - - - - - - -   A p p l i c a t i o n                           D i s a b l e d       2 0 9 7 1 5 2 0 K           2 1 4 9   H a r d w a r e E v e n t s                     D i s a b l e d       2 0 9 7 1 5 2 0 K           0   I n t e r n e t   E x p l o r e r               D i s a b l e d       K                           0   K e y   M a n a g e m e n t   S e r v i c e     D i s a b l e d       2 0 9 7 1 5 2 0 K           0   S e c u r i t y                                 D i s a b l e d       2 0 9 7 1 5 2 0 K           1 7 2 6   S y s t e m                                     D i s a b l e d       2 0 9 7 1 5 2 0 K           3 5 5 5   W i n d o w s   P o w e r S h e l l             D i s a b l e d       1 5 7 2 8 6 4 0 K           1 3 8 （ 2 ） 清 除 事 件 日 志 （ 包 括 六 种 日 志 类 型 ） m e t e r p r e t e r   >   r u n   e v e n t _ m a n a g e r     - c m e t e r p r e t e r   >   c l e a r e v   [ * ]   W i p i n g   4   r e c o r d s   f r o m   A p p l i c a t i o n . . . [ * ]   W i p i n g   8   r e c o r d s   f r o m   S y s t e m . . . [ * ]   W i p i n g   7   r e c o r d s   f r o m   S e c u r i t y . . .
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:21 , Processed in 0.139241 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表