【每日一记11】 Windows 入侵痕迹清理学习记录

     为避免入侵行为被发现，攻击者总是会通过各种方式来隐藏自己，比如：隐藏自己的真实IP、清除系统日志、删除上传的工具、隐藏后门文件、擦除入侵过程中所产生的痕迹等。

01、Windows日志清除
windows 日志路径：
系统日志：%SystemRoot%\System32\Winevt\Logs\System.evtx
安全日志：%SystemRoot%\System32\Winevt\Logs\Security.evtx
应用程序日志：%SystemRoot%\System32\Winevt\Logs\Application.evtx
   日志在注册表的键：HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\Eventlog
windows 日志清除方式：
（1）最简单粗暴的方式，开始→运行,输入 eventvwr 进入事件查看器，右边栏选择清除日志。
（2）命令行一键清除Windows事件日志：
（a）PowerShell -Command "& {Clear-Eventlog -Log Application,System,Security}"
（b）Get-WinEvent -ListLog Application,Setup,Security -Force | % {Wevtutil.exe cl $_.Logname}
（3）利用脚本停止日志的记录
该脚本遍历事件日志服务进程（专用svchost.exe）的线程堆栈，并标识事件日志线程以杀死事件日志服务线程。因此，系统将无法收集日志，同时事件日志服务似乎正在运行。

（4）Windows单条日志清除
该工具主要用于从Windows事件日志中删除指定的记录。

（5）Windows日志伪造，使用eventcreate这个命令行工具来伪造日志或者使用自定义的大量垃圾信息覆盖现有日志。eventcreate -l system -so administrator -t warning -d "this is a test" -id 500

02、IIS日志
IIS默认日志路径：
%SystemDrive%\inetpub\logs\LogFiles\W3SVC1\
清除WWW日志：

停止服务：net stop w3svc
删除日志目录下所有文件：del *.*
启用服务：net start w3svc

03、利用Windows自带命令进行安全擦除
（1）Shift+Delete快捷键永久删除
     直接删除文件，还是能在回收站找到的，使用Shift+Delete快捷键可以直接永久删除了。但是用数据恢复软件，删除的文件尽快恢复，否则新的文件存入覆盖了原来的文件痕迹就很难恢复了。

（2）Cipher 命令多次覆写
    在删除文件后，可以利用Cipher 命令通过 /W 参数可反复写入其他数据覆盖已删除文件的硬盘空间，彻底删除数据防止被恢复。比如刚刚删除D:\tools目录下的文件，执行cipher /w:\tools，D 盘上未使用空间就会被覆盖三次：一次 0x00、一次 0xFF，一次随机数，所有被删除的文件就都不可能被恢复了。

（3）Format命令覆盖格式化
Format 命令加上 /P 参数后，就会把每个扇区先清零，再用随机数覆盖。而且可以覆盖多次。比如
format D: /P:8就表示把 D 盘用随机数覆盖 8 次。

04、清除远程桌面连接记录
    当通过本机远程连接其他客户端或服务器后，会在本机存留远程桌面连接记录。代码保存为clear.bat文件，双击运行即可自动化清除远程桌面连接记录。

这个有点意思