wgpsec/log-evasion

日志分析与日志逃逸

核心原则：最好的反日志策略是不产生日志，而非事后删除

⛔ 深入参考

• Windows Event Log 详细 ID 映射与清除 → references/windows-eventlog.md
• Linux audit/syslog 绕过技术 → references/linux-log-evasion.md

---

Part A: 蓝队视角 — 日志检测关键点

Windows 关键 Event ID

| Event ID | 日志源 | 含义 | 红队动作触发 | |----------|--------|------|-------------| | 4624 | Security | 登录成功 | PTH/PTT/RDP | | 4625 | Security | 登录失败 | 密码喷洒 | | 4648 | Security | 显式凭据登录 | runas/PsExec | | 4672 | Security | 特权分配 | 特权提升 | | 4688 | Security | 新进程创建 | 工具执行 | | 4698 | Security | 计划任务创建 | 持久化 | | 4720 | Security | 用户创建 | 后门账户 | | 5140 | Security | 网络共享访问 | 横向移动 | | 5156 | Security | 网络连接 | C2 通信 | | 7045 | System | 服务安装 | 持久化/PsExec | | 1102 | Security | 日志清除 | ⛔ 反取证暴露！ | | 4104 | PowerShell | 脚本块日志 | PS 攻击工具 | | 4103 | PowerShell | 模块日志 | PS 命令执行 | | 1 | Sysmon | 进程创建（含hash） | 所有工具执行 | | 3 | Sysmon | 网络连接 | C2 通信 | | 8 | Sysmon | CreateRemoteThread | 进程注入 | | 10 | Sysmon | 进程访问 | LSASS dump | | 11 | Sysmon | 文件创建 | 工具落盘 |

Linux 关键日志

| 日志 | 位置 | 记录内容 | |------|------|---------| | auth.log/secure | /var/log/ | SSH 登录、sudo、su | | wtmp | /var/log/ | 登录/注销记录 | | btmp | /var/log/ | 失败登录 | | lastlog | /var/log/ | 最后登录时间 | | audit.log | /var/log/audit/ | auditd 规则匹配 | | syslog/messages | /var/log/ | 系统事件 | | journal | /var/log/journal/ | systemd 日志 | | .bash_history | ~/ | 命令历史 |

SIEM 常见检测规则（需要绕过的）

Sigma 规则示例（蓝队部署）：
├─ 进程注入: Sysmon EventID 8 (CreateRemoteThread to lsass)
├─ 凭据 Dump: EventID 10 (OpenProcess to lsass)
├─ 横向移动: EventID 4648 + 4624 LogonType 3
├─ 持久化: EventID 7045 (新服务) / 4698 (新计划任务)
├─ 日志清除: EventID 1102 / 104 → 高优先级告警！
└─ PowerShell: EventID 4104 含 "IEX" / "Invoke-" / "-enc"

---

Part B: 红队视角 — 日志逃逸

策略 1: 阻止日志产生（最优）

Windows:
├─ 禁用 ETW Provider → 阻止 PowerShell/AMS 日志
│   patch ntdll!EtwEventWrite → ret
│   或 NtTraceEvent hook
├─ 关闭 ScriptBlock Logging
│   reg: HKLM\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging → 0
├─ 使用 .NET 避免 PowerShell 日志
│   C# 直接调用 .NET → 不走 PS 引擎 → 无 4104
├─ Thread detach from ETW
│   patch 当前线程的 ETW context → 不再产生事件
└─ Sysmon 绕过
    unload sysmon driver / patch 事件回调

Linux:
├─ 操作前: unset HISTFILE; export HISTSIZE=0; export HISTFILESIZE=0
├─ 或: set +o history
├─ 使用空格前缀命令（bash HISTCONTROL=ignorespace）
├─ kill -9 auditd（需 root，会产生停止日志）
└─ auditctl -e 0（关闭审计，更隐蔽）

策略 2: 绕过日志（不触发检测规则）

绕过 Sysmon:
├─ 进程注入: 避免 CreateRemoteThread → 用 APC/Callback/Early Bird
├─ LSASS 访问: 避免直接 OpenProcess → 用 Handle 复制/MiniDump
├─ 网络: 使用 raw socket → Sysmon EID 3 可能不捕获
└─ 文件: 使用已存在文件名/路径 → 不触发新文件规则

绕过 PowerShell 日志:
├─ 降级攻击: powershell -version 2（无 ScriptBlock 日志）
├─ 使用 C#/.NET: 直接反射调用 → 无 PS 日志
├─ AMSI bypass → 阻止脚本内容被记录
└─ 使用 WMI/COM → 不走 PowerShell 引擎

绕过 4688 进程创建:
├─ 进程名伪装: 复制合法程序名执行
├─ 使用 LOLBins: rundll32/mshta/certutil → 合法进程
├─ 父进程欺骗: 设置 PPID 为正常进程
└─ 命令行混淆: 环境变量展开、特殊字符

策略 3: 精准清除（已产生日志时的补救）

⛔ NEVER 清空整个日志 → EventID 1102 会立即告警！
⛔ ALWAYS 精准删除特定条目

Windows 精准清除:
├─ 方式 1: 停止 EventLog 服务 → 修改 .evtx 文件 → 重启服务
│   net stop eventlog（需 SYSTEM）
│   修改 evtx 二进制结构删除特定记录
│   net start eventlog
├─ 方式 2: Danderspritz eventlogedit（NSA 工具）
│   精准删除指定 EventID 的记录，修复文件校验
├─ 方式 3: Invoke-Phant0m
│   杀掉 EventLog 服务的所有线程 → 服务在但不写日志
└─ 方式 4: MiniNT 注册表键
    HKLM\SYSTEM\CurrentControlSet\Control\MiniNT → 阻止日志写入

Linux 精准清除:
├─ auth.log: sed -i '/特定IP/d' /var/log/auth.log
├─ wtmp: utmpdump /var/log/wtmp > tmp.txt
│         编辑删除特定行
│         utmpdump -r < tmp.txt > /var/log/wtmp
├─ lastlog: 工具修改特定用户的 lastlog 记录
├─ audit.log: aureport 确认记录 → sed 删除
└─ journal: journalctl --vacuum-time=1s（⛔ 会清全部）

策略 4: 实时日志转发对抗

现代企业会实时转发日志到 SIEM → 本地删除无效！

应对方案：
├─ 从一开始就不产生日志（策略 1）→ 最优
├─ 绕过 Sysmon/ETW（策略 2）→ 不产生特定事件
├─ 使用 SSH 隧道/DNS 隧道 → 网络日志中混入合法流量
├─ 操作时间选择 → 凌晨/节假日 → SOC 响应慢
└─ 理解 SIEM 规则阈值 → 低于告警阈值操作
    例：密码喷洒锁定阈值 5次 → 每用户只尝试 2 次

对照表

| 蓝队监控 | 触发条件 | 红队对策 | |----------|---------|---------| | EventID 4624 | 任何登录 | 正常时段+合法用户名 | | EventID 4688 | 新进程 | LOLBins / PPID spoofing | | EventID 4104 | PS 脚本 | .NET / AMSI bypass / PS v2 | | Sysmon EID 1 | 进程+hash | 修改已知白名单程序 | | Sysmon EID 8 | 远程线程 | APC / Timer callback | | Sysmon EID 10 | 进程访问 | Handle duplicate | | auditd | syscall审计 | 关闭 auditd / 直接 syscall | | 网络日志 | 连接记录 | 域前置 / CDN / 合法服务 |