为了方便管理员了解掌握电脑的运行状态dzseo被挂马，Windows提供了完善的日志功能dzseo被挂马，将系统服务、权限设置、软件运行等相关事件分门别类详细记录于日志之中。所以，通过观察、分析系统日志，有经验的管理员不但可以了解黑客对系统做了哪些改动，甚至还可能会找出入侵的来源，例如从ftp日志找出黑客登录的lP地址。为此，清除日志几乎成为黑客入门的必修课。

WndowsXP操作系统为例，它的日志系统由默认提供的日志、防火墙日志、ns服务器日志三大类组成。

Windows系统默认提供应用程序日志、安全性日志和系统日志。应用程序主要记录应用程序运行时出现的错误和特效事件。

例如dzseo被挂马：停止响应、数据启动、停止等。安全性日志用于记录管理员指定的审核事项，假如管理员没有在组策略中指定需要审核的内容及审核的方向，说明此日志为空白状态。

系统日志用于记录各类系统运行的信息。例如Telnet服务启动后，系统日志将会记录该服务启动的时间，并留下一条关elnet服务正处于运行状态的描述。

从以上的分析不难看出，对于没有安装附加组件的"肉鸡"而言，系统日志是清除的首要目标。

防火墙日志默认处于关闭状态，管理员启用了防火墙日志记录功能后，就会在vrindows目录内自动生成pfuwall.log文件，并记录相应的连接内容。假如找不到这个文件，则说明管理员没有启用防火墙日志功能

若用户安装了IIS服务器组件，就可以在"%systemroot%\system32\logfles\"中找到FTP、Web、Ils服务器等同志。

HTTPERR文件夹中存放的日志文件记录着Web运行、响应出错等信息，主要用于排解故障及优化Web服务，对黑客而言，其意义不大。

W3SVCl文件夹用于存放lP地址、用户名、服务器端口、用户所访问的UiRI资源、发出的URI查求等信息，管理员通过分析此文件可以找出黑客入侵的各种痕迹，所以，完成SQL注入、网站挂马等操作后，务必要清除此文件。

MSFTPSVC1文件夹保存着FTP日志，与前面介绍的Web、IIS日志相比，FTP日志更详细，不但包含用户登录操作，还包含用户的各种操作请求，例如记录用户利用UNICODE漏洞入侵服务器，就会留下相当多与cmd.exe有关的记录，所以，在成功入侵后，此日志须及时清除

日志清理

Eventvwr.msc

右键 属性 清楚日志

如果我们不想手工清除，我们可以下载clearlog.exe

使用方法:Usage: clearlogs [\\computername] -app / -sec / -sys

-app = 应用程序日志 -sec = 安全日志 -sys = 系统日志a. 可以清除远程计算机的日志** 先用ipc连接上去: net use \\ip\ipc$ 密码/user:用户名** 然后开始清除: 方法 clearlogs \\ip -app 这个是清除远程计算机的应用程序日志clearlogs \\ip -sec 这个是清除远程计算机的安全日志clearlogs \\ip -sys 这个是清除远程计算机的系统日志

b.清除本机日志: 如果和远程计算机的不能空连接. 那么就需要把这个工具传到远程计算机上面 然后清除. 方法:

clearlogs -app 这个是清除远程计算机的应用程序日志clearlogs -sec 这个是清除远程计算机的安全日志clearlogs -sys 这个是清除远程计算机的系统日志

安全日志已经被清除.Success: The log has been cleared 成功.

破坏Windows日志记录功能

利用工具

· Invoke-Phant0m https://github.com/hlldz/Invoke-Phant0m

· Windwos-EventLog-Bypass https://github.com/3gstudent/Windows-EventLog-Bypass

msf

run clearlogs

clearev

3389登陆记录清除

@echo off

@reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f

@del "%USERPROFILE%\My Documents\Default.rdp" /a

@exit

Cobaltstricke插件dzseo被挂马：EventLogMaster-master

查看日志

在cs上线上的机器ClearAll

OK!

虽然这里讲的是windows的痕迹清理，也大概讲下linux的

1：在获取权限后，执行以下命令，不会记录输入过的命令

· 1

2：删除 /var/log 目录下的日志文件

3：如果是web应用，找到web日志文件，删除

异曲同工