windows文件执行记录的获取与清除

﹏ヽ暗。殇╰゛Y 2022-12-31 05:22 119阅读 0赞

### 文章目录 ###

*  前言
 *  日志查看
 *   *  1. 进程创建记录
     *  2.Program Inventory Event Log
     *  3.Program-Telemetry Event Log
     *  4.查询特定类别日志
 *  日志删除
 *   *  1.删除全部的某类日志
     *  2.逐条删除日志
     *   *  2.1 导出Security
         *  2.2批量删除指定条目的日志
         *  2.3 还原evtx文件
 *  绕过windows的日志记录功能
 *  参考文章

# 前言 #

本文主要介绍了如何利用命令行来获取或者清除文件执行记录等日志。对日志的删除需要在管理员权限下才可以，图形化界面查看日志的命令为eventvwr。

# 日志查看 #

## 1. 进程创建记录 ##

进程创建记录事件id一般为(592/4688)，可以通过命令行的命令进行查看：

wevtutil qe security /rd:true /f:text /q:"Event[System[(EventID=4688)]]"

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

## 2.Program Inventory Event Log ##

主要用于记录软件活动摘要、安装的程序、安装的Internet Explorer加载项、更新的应用程序、已删除的应用程序，相关事件id如下：

> 800 (summary of software activities)  
> 900 & 901 (new Internet Explorer add-on)  
> 903 & 904 (new application installation)  
> 905 (updated application)  
> 907 & 908 (removed application)

查询命令：

wevtutil qe /f:text Microsoft-Windows-Application-Experience/Program-Inventory

## 3.Program-Telemetry Event Log ##

在应用程序启动时为应用程序处理应用程序兼容性缓存请求，相关事件id:500/505

wevtutil qe /f:text Microsoft-Windows-Application-Experience/Program-Telemetry

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]

## 4.查询特定类别日志 ##

日志一共分五种：

> application  
> security  
> setup  
> system  
> forwarded events

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]

\#查询应用日志的方法

wevtutil qe /f:text Application

\#查询应用日志的整体状态信息

wevtutil gli Application

# 日志删除 #

## 1.删除全部的某类日志 ##

\#删除全部的应用日志

wevtutil gli Application
    wevtutil cl Application
    wevtutil gli Application

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]

## 2.逐条删除日志 ##

### 2.1 导出Security ###

\#这条命令可以导出日志文件，下面的wevtutil epl命令也会导出，所以执行下面的命令的时候不用事先导出日志文件。

wevtutil.exe epl Security 1.evtx

### 2.2批量删除指定条目的日志 ###

> \#删除security下指定eventrecordID的日志记录

wevtutil epl Security 1.evtx "/q:*[System [(EventRecordID>13032) or (EventRecordID<13030)]]"

> \#删除指定systemtime区间的日志

1.查询最新的一条日志的事件

wevtutil.exe qe Security /f:xml /rd:true /c:1

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]

wevtutil.exe qe Security /f:text /rd:true /c:1

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]

发现一个是早晨9.09，一个是下午的17.09。我们删除这两个时间段之间的所有日志，并将结果保存为1.evtx：

wevtutil epl Security 1.evtx "/q:*[System [TimeCreated[@SystemTime >'2020-12-28T09:09:35' or @SystemTime <'2020-12-28T17:09:35']]]"

### 2.3 还原evtx文件 ###

没找到方案。

# 绕过windows的日志记录功能 #

> 绕过原理：  
> Windows日志对应于eventlog服务，找到该服务对应的进程svchost.exe，进而筛选出svchost.exe进程中具体实现日志功能的线程，调用TerminateThread结束线程，破坏日志记录功能，实现日志功能的线程都有个共同点，那就是调用了wevtsvc.dll。

工具实现：  
[Invoke-Phant0m][]

执行命令`Invoke-Phant0m`即可：

powershell -exec bypass "Import-Module C:\Users\test\Desktop\Invoke-Phant0m.ps1;Invoke-Phant0m"

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 6]  
恢复`net start eventlog`

# 参考文章 #

[windows取证——文件执行记录的获取和清除][windows]  
[渗透技巧——Windows单条日志的删除][Windows]  
[渗透技巧——Windows日志的删除与绕过][Windows 1]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221120/db7a81c6ca1f4f8caad7856165849b1f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: /images/20221120/6b10d9f1ef2c4cfd9f96bff1d80de7de.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]: /images/20221120/6f666b85c0704b2280da8f1a3937fc5f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]: /images/20221120/35502c42d6624102a42ca291a33ad9d8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]: /images/20221120/b9e62b0a21414c1d9c5e169aa9f7a77d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]: /images/20221120/991ccbeea07149699d7ca7e5ad6a46eb.png
[Invoke-Phant0m]: https://github.com/hlldz/Invoke-Phant0m
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 6]: /images/20221120/6a12a978811c4e20935601b25645626b.png
[windows]: https://xz.aliyun.com/t/7155#toc-2
[Windows]: https://3gstudent.github.io/3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-Windows%E5%8D%95%E6%9D%A1%E6%97%A5%E5%BF%97%E7%9A%84%E5%88%A0%E9%99%A4/
[Windows 1]: https://3gstudent.github.io/3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-Windows%E6%97%A5%E5%BF%97%E7%9A%84%E5%88%A0%E9%99%A4%E4%B8%8E%E7%BB%95%E8%BF%87/