Windows痕迹清除：
1、事件查看器：在命令运行窗口输入eventvwr.msc命令打开Windows事件查看器，或在控制面板 管理工具中打开事件查看器
Windows事件管理工具为wevtutil.exe（https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil），攻击者可以在后台使用wevtutil工具清除某类日志或者修改该类日志的配置，达到隐蔽攻击痕迹的目的。
应用程序日志、安全、系统日志是Windows系统中三个核心日志，默认大小为20480KB，Windows 7 日志文件默认存放位置为C:\Windows\System32\winevt\Logs。当存储的事件日志超过20M时，系统将会覆盖旧的事件日志。
双击相应事件即可查看该事件属性
6.1节创建管理员账号backdoor在目标系统中留下的日志文件如下：
4720, 4722, 4723, 4724, 4725, 4726, 4738等事件ID表示用户账号的改变，比如用户账号的创建，删除，和改变密码等。
使用该账号登录目标系统时，在目标系统中留下的日志文件如下：
事件ID为4624的表示所有用户登录成功事件，4625表示用户登录失败事件，尝试查看4625事件的详细信息，检查系统是否有登录失败的事件。
此外系统还会记录注册表、防火墙、对象访问等事件日志。
系统日志清除：
1.使用工具wevtutil.exe：https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wevtutil
修改日志配置：
按需要覆盖事件(旧事件优先)：表示当日志文件达到上限时，会把一些旧的日志文件记录删除掉，以存储新的日志信息。
不覆盖事件:表示当日志文件达到上限值之后，系统不会继续记录新的事件信息。需要系统管理员手工清楚日志文件后，系统才会记录记录日志信息。
wevtutil sl System /ms:10485760 /rt:true
wevtutil gl system /f:text
config.xml
<?xml version="1.0" encoding="UTF-8"?>
<channel name="System" isolation="System"
xmlns="http://schemas.microsoft.com/win/2004/08/events">
<logging>
<retention>true</retention>
<autoBackup>false</autoBackup>
<maxSize>10485760</maxSize>
</logging>
<publishing>
</publishing>
</channel>
甚至可以关闭日志记录：
示例清除系统日志：
wevtutil sl "Microsoft-Windows-Windows Firewall With Advanced Security/Firewall" /e:false
wevtutil cl "System"
meterpreter清除日志：
修改文件的访问时间：
timestomp test_1.txt -f test.txt
清除浏览器痕迹：
以IE浏览器为例，痕迹的默认存放位置为：C:\Users\Ro\AppData\Local\Microsoft\Windows\Temporary Internet Files，
注：该目录默认具有隐藏属性，Windows7为例，打开Windows资源管理器，在顶部左侧选择“组织”菜单，选择菜的菜单下的“文件夹和搜索选项”，在弹出的窗口中点击“查看”选项卡，勾掉“隐藏受保护的操作系统文件”，并选择“显示隐藏的文件、文件夹和驱动器即可。
可使用del * /s /q或rd命令直接删除该目录下的相应文件。或者使用RunDll32.exe程序运行IE浏览器配置文件InetCPL.cpl进行清除。
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 1 //清除历史记录
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 2 //清除Cookies
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 8 //清除Internet临时文件
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 16 //清除表单数据
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 32 //清除密码
RunDll32.exe InetCpl.cpl,ClearMyTracksByProcess 255 //清除全部项目
Google Chrome浏览器痕迹存放目录位于：%userprofile%AppData\Local\Google\Chrome\User Data\Default
注：%userprofile% =C:\Users\用户名 可在Chrome浏览器的地址栏中输入chrome://version/查看资料保存路径。
Web服务器日志清除：
IIS日志：以Windows7为例，打开控制面板中的管理工具，选择Internet信息服务（IIS）管理器 或在命令运行窗口输入InetMgr.exe。
日志存放位置C:\inetpub\logs\LogFiles
Apache日志：
Apache服务器有访问日志（access.log）和错误日志（error.log），默认安装在/var/log/apache2/
主配置文件为/etc/apache2/apache2.conf，
APACHE_LOG_DIR变量在 /etc/apache2/envvars 中已被定义
系统使用痕迹：
