Windows痕迹清除(wevtutil.exe、meterpreter)

左手的ㄟ右手 2022-01-21 10:25 2028阅读 0赞

### Windows痕迹清除 ###

**事件查看器**：在命令运行窗口输入eventvwr.msc命令打开Windows事件查看器，或在控制面板管理工具中打开事件查看器。

Windows事件管理工具为wevtutil.exe（[https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil][https_docs.microsoft.com_en-us_windows-server_administration_windows-commands_wevtutil]），攻击者可以在后台使用wevtutil工具清除某类日志或者修改该类日志的配置，达到隐蔽攻击痕迹的目的。

**应用程序日志、安全、系统日志**是Windows系统中三个核心日志，默认大小为20480KB，

Windows 7 日志文件默认存放位置为C:\\Windows\\System32\\winevt\\Logs。当存储的事件日志超过20M时，系统将会覆盖旧的事件日志。

1、双击相应事件即可查看该事件属性

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70][]

2、创建管理员账号backdoor在目标系统中留下的日志文件如下：

4720, 4722, 4723, 4724, 4725, 4726, 4738等事件ID表示用户账号的改变，比如用户账号的创建，删除，和改变密码等。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_40_color_FFFFFF_t_70][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_40_color_FFFFFF_t_70 1][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFF4_t_70][]

3、使用该账号登录目标系统时，在目标系统中留下的日志文件如下：

事件ID为4624的表示所有用户登录成功事件，4625表示用户登录失败事件，尝试查看4625事件的详细信息，检查系统是否有登录失败的事件。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_45_color_FFFFF5_t_70][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 1][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_45_color_FFFFFF_t_70][]

此外系统还会记录注册表、防火墙、对象访问等事件日志。

###  ###

### **系统日志清除** ###

1、使用工具wevtutil.exe。下载地址：[https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil][https_docs.microsoft.com_en-us_windows-server_administration_windows-commands_wevtutil]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 2][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_45_color_FFFFFF_t_70 1][]

2、修改日志配置：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 3][]![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 4][]

按需要覆盖事件(旧事件优先)：表示当日志文件达到上限时，会把一些旧的日志文件记录删除掉，以存储新的日志信息。

不覆盖事件:表示当日志文件达到上限值之后，系统不会继续记录新的事件信息。需要系统管理员手工清楚日志文件后，系统才会记录记录日志信息。

wevtutil sl System /ms:10485760 /rt:true
    wevtutil gl system /f:text

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70][]

config.xml
    
    <?xml version="1.0" encoding="UTF-8"?>
    <channel name="System" isolation="System"
             xmlns="http://schemas.microsoft.com/win/2004/08/events">
      <logging>
        <retention>true</retention>
        <autoBackup>false</autoBackup>
        <maxSize>10485760</maxSize>
      </logging>
      <publishing>
      </publishing>
    </channel>

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 1][]

3、甚至可以关闭日志记录：

示例清除系统日志：

wevtutil sl "Microsoft-Windows-Windows Firewall With Advanced Security/Firewall" /e:false
    wevtutil cl "System"

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_30_color_FFFFFF_t_70][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_30_color_FFFFFF_t_70 1][]

###  ###

### meterpreter清除日志： ###

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_30_color_FFFFFF_t_70 2][]![20190612215024792.png][]

修改文件的访问时间：

timestomp test_1.txt -f test.txt

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 2][]

[https_docs.microsoft.com_en-us_windows-server_administration_windows-commands_wevtutil]: https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70]: /images/20220121/c1d960c869864687ae7e128da1170eb8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_40_color_FFFFFF_t_70]: /images/20220121/6094e3301ac24989b57839784ae614d1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_40_color_FFFFFF_t_70 1]: /images/20220121/a551a889ff5847f08bffa71e5f869fc2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFF4_t_70]: /images/20220121/3c596e5d6b6a4a98b379ec1b541634a6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_45_color_FFFFF5_t_70]: /images/20220121/81336a17bd414c978ef65a8208bbfee1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 1]: /images/20220121/12d40b7b620343f8acfb374ce9535884.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_45_color_FFFFFF_t_70]: /images/20220121/c7f1df9077dc4b86a3428f789f38489b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 2]: /images/20220121/c43fd300cbfe4d9b99959a9d6621bd2c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_45_color_FFFFFF_t_70 1]: /images/20220121/866d67c505f248f483141ab572d950d3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20190612195007113.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_16_color_FFFFFF_t_70 4]: /images/20220121/f758ec9634344523937642333558db13.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70]: /images/20220121/88eb40bec4224b5bbb29793ec4c5ee84.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 1]: /images/20220121/80688ac84b004da8a27135ddcc580daa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_30_color_FFFFFF_t_70]: /images/20220121/a00cef9b25eb4531bedd1071db4af40a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_30_color_FFFFFF_t_70 1]: /images/20220121/8938297fa6f44f358e2c8a9900fd01f2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_30_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20190612214601899.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28=,size_30,color_FFFFFF,t_70
[20190612215024792.png]: /images/20220121/a46a226d2da64b49bed42d86286ff86d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3JvYmFjY28_size_35_color_FFFFFF_t_70 2]: /images/20220121/335d35b6d0374d7698a41842a66e9a82.png