鬼仔's Blog

作者：xi4oyu

logtamper version1.1
logtamper是一款*修改*linux日志的工具，在修改日志文件的同时，能够保留被修改文件的时间信息(atime没改，觉得没必要)。

[root@localhost logtamper]# ./logtamper-static
Logtamper v 1.1 for linux
Copyright (C) 2008 by xi4oyu <[email protected]>
阅读全文 »

来源：柳永法(yongfa365)’Blog

专题名称：IIS日志清理专题,CMD版,VBS版,JS版,WSH版

关键词：IIS日志清理,日志清理,IIS日志清理CMD版,IIS日志清理VBS版,IIS日志清理JS版,IIS日志清理WSH版

应用场合：主要用与虚拟主机，也可用于个人服务器

产生背景：2005 年某月某日，一向运行正常的虚拟主机死机了，让机房值班人员重启数次，都不成，接显示器进系统看，提示：C盘空间不足，半夜还得去机房处理，到机房后先断 网，再进系统发现有两个地方有问题，C:\WINDOWS\system32\LogFiles文件有6G，还有一个就是Symantec隔离病毒的地 方，到网上找了下，最大可能性是我们的虚拟主机的所有日志都写在这里，并且没人知道写在这里，郁闷，在IIS里看了下，还真是这么回事，日志天天都在长， 当时公司订单很多也没人关注这个，当时清理了一下，系统正常，回到公司后把IIS日志改到别的盘了。
阅读全文 »

文章作者：xi4oyu

还是放出来好了，免得老找我要这东西。功能应该比网上的日志清除工具都要好。它是修改，而不是纯粹的删除和清空基于wtmpclean改的，所以我名字都没换

上几张图好了：
修改wtmp与utmp 与username和hostname相符的条目，同时保留timestamp

阅读全文 »

文章作者：xi4oyu
Linux 入侵踪迹隐藏攻略v0.1
免责声明：
本文仅用于教学目的，如果因为本文造成的攻击后果本人概不负责,转载请保留。
0．前言：
被警察叔叔请去喝茶时间很痛苦的事情，各位道长如果功力不够又喜欢出风头的想必都有过这样的“待遇”。如何使自己在系统中隐藏的更深，是我们必须掌握的基本功。当然，如果管理员真的想搞你而他的功力又足够足的话，相信没什么人能够真正的“踏雪无痕”。Forensic 与Anti-Forensic，说到底只是你和管理员之间的技术间较量而已。貌似很少有专门说这个的文章，大部分就是下载个日志擦除的软件，然后运行下就可以了，对小站可以，但对方如果是经验丰富的管理员呢？我们该如何应对？我在这里只介绍unix-like system下的，至于windows或者其他什么系统下的，欢迎各位道友补充。

阅读全文 »

文章作者：taiwansee
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

Windows 2000/XP 可以“踏雪无痕”，替换的时候没有关闭和重启IIS服务&&文件大小、各个时间参数和原来一样 :)

搜索字符串使用的是Aogosoft的免费正则表达式引擎。（它的语法和标准语法有所不同，郁闷……）

现开放源代码，发现BUG请跟帖指正。

本工具和代码仅供研究使用，不可用作非法用途。

感谢stealthwalker、Anskya的建议，

感谢 zshoucheng 提供的正则表达式库！

E:\>RepLogs.exe

*************************************************************
阅读全文 »

软件作者：pt007[at]vip.sina.com版权所有,转载请注明版权
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）
阅读全文 »

最近发现清除日志的工具都被杀了,郁闷了,干脆自己用DELPHI写了一个
***********************************************************************
* 日志清除器 by 绝对零度 QQ:48124012 *
* Bug.Center.Team http://www.cnbct.org Blog:http://www.0571m.com *
* *
* 功能：清除IIS日志,FTP日志,计划任务日志,TCP/IP限制,系统日志 *
* *
* -logfiles: 默认清除指定IP地址在LogFiles目录下的IIS,FTP,计划任务日志 *
* 可以自定义需要清除目录. *
* -eventlog: 清除系统日志 *
阅读全文 »

来源：慕容小语's Blog

很多时候，因为内网信任或者vlan等我们在外面连不上目标的3389终端，又不可能每次都靠反弹后门来htran

一般来说，可以在内网信任的任何一台机器（比如web）上来直接mstsc来连接内网ip

默认是空记录，或者是仅有几个被连接过的ip记录，当我们连接完内网新的ip的时候，连接记录会默认显示出来，很苦恼啊。有经验的管理员基本上都可以发现

清理很简单

HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default
把右边显示出来的，非原有的ip键值直接DEL就可以啦~~但是千万记住默认注册表打开的时候，当前键值是在哪儿（一般是主键，没有分树），照着默认一打开时候的树状模样恢复就ok

还是那句话，我们主要是针对有经验的管理员^-^