文章目录

  • 痕迹清理技术要点说明
  • Windows痕迹清理
    • Windows日志清理
      • Windows日志相关基础知识
      • Windows日志清理方法
        • 全量删除方法
          • 通过事件查看器删除
          • 通过PowerShell删除
          • 暴力删除日志文件
          • 使用wevtutil命令行删除
          • msf一键清理
        • 定向清理方法
          • 删除最近数据
          • 删除某指定单条记录
          • 删除某指定多条记录
          • 按时间段删除
      • Windows远程连接日志清理
      • 近期访问记录清理
      • 利用覆写增大溯源难度
  • Linux痕迹清理
    • Linux清理登录记录以及Host记录方法
      • 隐藏远程ssh登录记录
      • History清理
        • History运行原理
        • 全部删除历史记录
        • 当前shell终止history记录
        • 禁用History方法
        • 删除指定命令记录方法
    • Linux日志清理
      • 全部删除
      • 针对性修改或删除
      • 利用覆写增大溯源难度

痕迹清理技术要点说明

痕迹清理，是清理自己在目标机器上留下的所有操作痕迹。其主要目的是

  • 避免溯源
  • 隐藏攻击方法
  • 为下一步渗透拖延时间

每一项渗透动作都有其目的，我们都需要思考其是否真正的有必要，并不是每一次渗透均需要进行痕迹清理的动作。

痕迹清理的限制

  • 痕迹清理这个动作本身也会产生痕迹，所以不存在完美的痕迹清理
  • 如果目标已经配置，第三方的日志记录平台，本机的痕迹清理作用微乎其微，除非我们可以拿下日记系统的控制权限。

痕迹清理的技术要点

  • 痕迹清理前需要先判断是否有必要清理痕迹。
  • 删除文件尽量使用复写方式，增加还原难度。
  • 如有必要可以伪造部分痕迹，混淆防守队溯源反向。
  • 定向删除优于全部删除，关闭日志等方式，增加被识别难度。
  • 如果痕迹清理的目的是为了下一步操作争取时间，那么我们需要去评估防守队的溯源时间，以安排后面的工作计划，当然极端情况我们可以在防守方休息时间段开展渗透。

痕迹清理的步骤

1、清理的必要性主要区间与你的目的。

2、需要清理哪些内容需要根据你的攻击路径来判断，也就是说你整个攻击路径中哪些会留下痕迹，我们需要清楚，我们的清理工作也真实针对这些痕迹进行操作。

3、痕迹清理相对主要简单，在你明确了需要清理哪些痕迹后，只要寻找对应的清理方法即可，下文总结常用的痕迹清理方法。

Windows痕迹清理

Windows日志清理

Windows日志相关基础知识

Windows的日志文件分为3类核心日志，分别是系统日志，程序日志，和安全日志