Coda是一款支持Windows/Linux系统的入侵痕迹抹除工具,可以帮助攻击者迅速消除入侵痕迹,使用Golang语言编写。
git clone https://github.com/Symph0nia/Coda.git
cd Coda
go build ./main.go
Coda接收三个参数,分别为:
./coda -D # 删除所有的日志信息
./coda -B # 删除大型的的日志信息,将小型的日志信息备份到/TEMP或/tmp文件夹下
./coda -R # 恢复备份的日志信息到原位置
Coda的基本用法即直接删除所有的日志,从而实现对溯源的打击。
Coda的进阶用法为Backup 2 Restore
在渗透成功后,运行Coda -B,对当前的日志信息进行镜像保存,接下来可以进行敏感操作,例如数据获取,数据删除一类。
在渗透结束阶段,运行Coda -R,对已经保存的日志信息进行恢复,不对日志系统进行完全清除,从而实现一个优雅的空白监控时间。
Warning
Coda对系统文件所造成的伤害是不可逆的,慎用。
目前的日志分类规则:大于100MB
目前的清除日志列表:
Windows:
日志文件路径 | 作用 |
---|---|
C:\\Windows\\System32\\winevt\\Logs\\Security.evtx |
记录安全相关事件,例如登录尝试、权限使用等。 |
C:\\Windows\\System32\\winevt\\Logs\\Application.evtx |
记录应用程序相关事件,由应用程序生成的日志信息。 |
C:\\Windows\\System32\\winevt\\Logs\\System.evtx |
记录系统级别事件,包括驱动程序加载、系统组件的启动和停止等。 |
C:\\Program Files\\Apache Group\\Apache2\\logs\\access.log |
记录Apache服务器的访问日志,包括每个请求的详细信息。 |
C:\\Program Files\\Apache Group\\Apache2\\logs\\error.log |
记录Apache服务器的错误日志,包括启动、运行时错误和异常。 |
C:\\Program Files (x86)\\IIS Express\\Logs\\IISExpress.log |
记录IIS Express的日志,包括访问和错误信息。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-User Profile Service%4Operational.evtx |
记录用户配置文件服务的操作日志。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-DNS-Client%4Operational.evtx |
记录DNS客户端操作日志。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-DNS-Server%4Analytical.evtx |
记录DNS服务器分析日志,用于诊断DNS问题。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-Windows Firewall With Advanced Security%4Firewall.evtx |
记录高级安全Windows防火墙的操作日志。 |
C:\\Windows\\System32\\LogFiles\\Firewall\\pfirewall.log |
记录Windows防火墙日志,包括被允许或被阻止的网络连接。 |
C:\\Windows\\System32\\LogFiles\\W3SVC1\\ |
记录IIS Web服务的日志,包括访问和错误日志。 |
C:\\Windows\\System32\\LogFiles\\HTTPERR\\httperr1.log |
记录IIS HTTP错误日志,包括无法处理的HTTP请求。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-Security-Auditing.evtx |
记录安全审计日志,包括成功和失败的安全事件。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-TaskScheduler%4Operational.evtx |
记录任务计划程序的操作日志。 |
C:\\Windows\\Temp |
存储临时文件,通常用于短期存储。 |
filepath.Join("C:\\Users", username, "AppData\\Local\\Temp") |
当前用户的本地临时文件夹,存储临时文件。 |
filepath.Join("C:\\Users", username, "AppData\\LocalLow\\Temp") |
当前用户的本地低权限临时文件夹,存储低权限临时文件。 |
filepath.Join("C:\\Users", username, "AppData\\Roaming\\Microsoft\\Windows\\Recent") |
记录当前用户最近访问的文件和文件夹。 |
filepath.Join("C:\\Users", username, "AppData\\Local\\Microsoft\\Windows\\INetCache") |
存储浏览器缓存文件。 |
filepath.Join("C:\\Users", username, "AppData\\Local\\Microsoft\\Windows\\History") |
存储浏览器历史记录。 |
filepath.Join("C:\\Users", username, "Documents") |
当前用户的文档文件夹,存储用户的文档文件。 |
filepath.Join("C:\\Users", username, "Downloads") |
当前用户的下载文件夹,存储用户下载的文件。 |
C:\\inetpub\\logs\\LogFiles\\W3SVC1\\ |
记录IIS Web服务的访问日志。 |
C:\\inetpub\\logs\\FailedReqLogFiles\\ |
记录IIS失败的请求日志,用于诊断失败的HTTP请求。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-SMBClient\\Operational.evtx |
记录SMB客户端操作日志。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-RemoteDesktopServices-RdpCoreTS\\Operational.evtx |
记录远程桌面服务操作日志。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-TerminalServices-LocalSessionManager\\Operational.evtx |
记录终端服务本地会话管理器操作日志。 |
Linux:
日志文件路径 | 作用 |
---|---|
/var/log/syslog |
记录系统日志,包括内核消息、服务启动和停止、各种系统事件。 |
/var/log/messages |
记录一般系统消息和非关键系统错误。 |
/var/log/auth.log |
记录认证相关的日志,包括登录尝试、sudo使用等。 |
/var/log/lastlog |
记录上次登录的信息。 |
/var/log/wtmp |
记录登录和注销事件的永久日志。 |
/var/log/btmp |
记录失败的登录尝试。 |
/var/log/faillog |
记录失败的用户登录信息。 |
/var/log/apache2/access.log |
记录Apache服务器的访问日志,包括每个请求的详细信息。 |
/var/log/apache2/error.log |
记录Apache服务器的错误日志,包括启动、运行时错误和异常。 |
/var/log/nginx/access.log |
记录Nginx服务器的访问日志,包括每个请求的详细信息。 |
/var/log/nginx/error.log |
记录Nginx服务器的错误日志,包括启动、运行时错误和异常。 |
/var/log/mysql/error.log |
记录MySQL数据库的错误日志,包括启动、运行时错误和异常。 |
/var/log/mysql/mysql.log |
记录MySQL数据库的一般操作日志。 |
/var/log/daemon.log |
记录守护进程的日志,包括系统服务的启动和停止。 |
/var/log/kern.log |
记录内核日志,包括内核启动信息和运行时的错误。 |
/var/log/mail.log |
记录邮件系统的日志,包括邮件传输信息。 |
/var/log/mail.err |
记录邮件系统的错误日志。 |
/var/log/secure |
记录安全相关的日志,包括登录、认证和授权信息。 |
/var/log/audit/audit.log |
记录系统审计日志,包括SELinux和其他安全模块的事件。 |
/var/log/sudo.log |
记录sudo命令的使用情况。 |
/tmp/ |
临时文件目录,存储系统和用户的临时文件。 |
/var/tmp/ |
临时文件目录,存储系统和用户的临时文件,通常比/tmp的生命周期更长。 |
/home/*/.bash_history |
记录每个用户的bash历史命令。 |
/home/*/.zsh_history |
记录每个用户的zsh历史命令。 |
/root/.bash_history |
记录root用户的bash历史命令。 |
/root/.zsh_history |
记录root用户的zsh历史命令。 |
/var/log/sshd.log |
记录SSH守护进程的日志。 |
/var/run/utmp |
记录当前登录用户的信息。 |
/var/log/dmesg |
记录内核环形缓冲区的消息,通常包括系统启动信息。 |
/var/log/yum.log |
记录Yum包管理器的操作日志。 |
/var/log/apt/history.log |
记录APT包管理器的历史日志。 |
/var/log/apt/term.log |
记录APT包管理器的终端日志,包括包安装和卸载的信息。 |
/var/log/journal/ |
systemd的日志目录,记录所有使用systemd管理的服务和系统事件。 |
/var/log/rkhunter/rkhunter.log |
记录Rootkit Hunter的扫描日志。 |
/var/log/chkrootkit/chkrootkit.log |
记录Chkrootkit工具的扫描日志。 |
/var/log/docker.log |
记录Docker的日志,包括容器的启动和停止信息。 |
/var/log/kubernetes/ |
记录Kubernetes的日志,包括集群中各组件的事件。 |
/var/log/containers/ |
记录容器的日志,通常包括Docker和Kubernetes管理的容器。 |
/var/log/postgresql/ |
记录PostgreSQL数据库的日志。 |
/var/log/mongodb/mongod.log |
记录MongoDB数据库的日志,包括启动和运行时信息。 |
/var/log/redis/redis.log |
记录Redis数据库的日志。 |
/var/log/tomcat/ |
记录Tomcat应用服务器的日志,包括访问和错误日志。 |
/var/log/glassfish/ |
记录GlassFish应用服务器的日志,包括访问和错误日志。 |
/var/log/maillog |
记录邮件传输代理(MTA)的日志,包括邮件传输信息。 |
/var/log/mail.err |
记录邮件传输代理(MTA)的错误日志。 |
/var/log/firewalld |
记录Firewalld的日志,包括防火墙规则的应用和事件。 |
/var/log/iptables.log |
记录Iptables的日志,包括防火墙规则的应用和事件。 |
/var/log/samba/* |
记录Samba服务的日志,包括文件共享和打印服务的事件。 |
/var/log/rsyncd.log |
记录Rsync守护进程的日志,包括文件同步和传输的事件。 |
/var/log/wtmp.1 |
记录历史登录和注销事件的归档日志。 |
/var/log/btmp.1 |
记录历史失败的登录尝试的归档日志。 |