一、日誌檔案與日誌登錄檔

系統日誌：

%SystemRoot%\System32\Winevt\Logs\System.evtx

安全日誌:

%SystemRoot%\System32\Winevt\Logs\Security.evtx

應用程式日誌：

%SystemRoot%\System32\Winevt\Logs\Application.evtx

日誌在登錄檔的鍵:

HKEY_LOCAL_MACHINE\system\CurrentControlSet\Services\Eventlog

二、日誌檔案的全面清理

1、手動：事件檢視器---刪除

2、命令列：

cmd:

wevtutil  el 　　　　列出系統中所有日誌名稱

wevtutil  cl   system  　　清理系統日誌

wevtutil  cl   application   清理應用程式日誌

wevtutil  cl   security　　  清理安全日誌

powershell:

PowerShell  -Command   "&{Clear-Eventlog  -Log  Application,System,Security}"

Get-WinEvent  -ListLog　Application,Setup,Security  -Force  |  % {Wevtutil.exe  cl  $_.Logname}

msf:

meterpreter> clearev

三、最近檔案的清理

1.方法1: del /f/s/q　　"%userprofile%\Recent*.*"

2.方法2：C:\Users\Administrator\Recent

四、檔案的覆寫刪除

cipher   /w:D:\test

format  D:  /p:20  

五、停止日誌記錄

1.基於powershell

https://github.com/hlldz/Phant0m

2.基於c

https://github.com/QAX-A-Team/EventCleaner