文章总结： 本文介绍了渗透测试后期痕迹清理的重要性，并详细讲解了Windows和Linux系统日志的清理方法，包括系统、应用程序和安全日志的默认位置及清除命令，还提供了Web日志清理示例和脚本。
综合评分： 78
文章分类： 渗透测试,实战经验,安全工具
渗透测试之痕迹清理
原创
大表哥吆
大表哥吆
kali笔记
2026年2月12日 08:02
甘肃
痕迹清理，是我们“肾透”测试后期最重要的环节。是躲避反追踪和隐藏攻击的重要环境。通过本文一起来学习吧。
清理Windows系统痕迹
在windows系统中，主要的日志分为以下三类：系统日志（SysEvent）、应用程序日志（AppEvent）、安全日志（SecEvent）。我们可以通过win+r + eventvwr.msc 打开事件查看器。查看相应的事件信息。
系统日志清理
记录操作系统组件产生的事件，主要包括驱动程序、系统组件和应用软件的崩溃及数据 默认位置：C:\Windows\System32\winevt\Logs\System.evtx
应用程序日志
主要记录程序运行方面的事件，默认位置：C:\Windows\System32\winevt\Logs\Application.evtx
安全日志
记录系统安全审计事件，包含各种类型登录日志、对象访问日志、进程追踪、特权使用、账号管理、策略变更和系统事件。默认位置：C:\Windows\System32\winevt\Logs\Security.evtx
日志清理
PowerShell命令
PowerShell -Command "& {Clear-Eventlog -Log Application,System,Security}"
msf清理
# 显示日志信息
run event_manager -i
# 清除指定日志
run event_manager -c System
# 清除所有日志
run event_manager -c
Linux系统日志清理
Linux 大多数日志文件就是文本，常见痕迹清理位置：/var/log。如下图，日志比较多。
但是最常用的日志有：
user.log用户信息日志auth.log用户登录日志btmp登录失败日志
为了方便，这里我们写了一个清理脚本。
#!/usr/bin/bash
echo > /var/log/syslog
echo > /var/log/messages
echo > /var/log/httpd/access_log
echo > /var/log/httpd/error_log
echo > /var/log/xferlog
echo > /var/log/secure
echo > /var/log/auth.log
echo > /var/log/user.log
echo > /var/log/wtmp
echo > /var/log/lastlog
echo > /var/log/btmp
echo > /var/run/utmp
echo > /var/log/dpkg.log
echo > /var/log/daemon.log
echo > /root/.bash_history
history -c
清除Web日志
web日志会记录用户对web页面的访问操作,web日志会记录访问时间、访问IP地址、访问资源，以及是否访问成功等信息。这里我们以apache2为例、默认文件位置为var/log/apache2,常用的宝塔的日志文件/www/log
更多精彩文章 欢迎关注我们
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：kali笔记 大表哥吆
大表哥吆《渗透测试之痕迹清理》