Windows：

1、禁止在登录界面显示新建账号

2、REG ADD "HKEY_LOCAL/-MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\WinLogon\SpecialAccounts\UserList" /v username(需要隐藏的用户名) /T REG_DWORD /D 0

3、del %WINDIR%\*.LOG /a/s/q/f ：删除windows目录下的所有日志文件

Linux：

    History：历史命令行

        history -c 进行清除

        chattr +i .bash_history：赋予 .bash_history文件以i属性--不可写，需将文件删除，再创建一个新的文件

    日志：/var/log/目录下

        auth.log / secure

        btmp / wtmp（以下四个文件必须通过命令显示）

        lastlog / failog

     其他日志和HIDS等

隐藏痕迹

• 禁止在登陆界面显示新建账号

• REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinLogon\SpecialAccounts\UserList" /v uname /T REG_DWORD /D 0

// 不在windos登陆界面显示某账号 但是会在net user 和图形化界面看到   网上有很多别的方法藏

• del %WINDIR%\*.log /a/s/q/f    //强制安静地删除所有的log文件

• History      //ls -l .bash_history 在这个文件下

history -c  清除记录 

lsattr 用于查看属性       chattr用于改变属性 可以改属性让文件不能被修改 

• 日志

• auth.log / secure   //在/var/log/下 用于存放系统登录日志和身份认证的记录

• btmp / wtmp    //用last命令查看 系统账号登录信息

• lastlog / faillog  

• 其他日志和 HIDS 等

隐藏痕迹

REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\WinLogon\SpecialAccounts\UserList" /v uname /T REG_DWORD /D 0

#禁止在登陆界面显示新建账号

del %WINDIR%\*.log /a/s/q/f

#静默删除日志

history -c  #删除历史记录

linux中给文件加-i属性后无法操作

linux中日志

• auth.log / secure

• btmp / wtmp

• lastlog / faillog

• 其他日志和 HIDS 等

提权

本地提权

• 系统账号之间的权限隔离 
  • 操作系统安全的基础
  • 用户空间
  • 内核空间
• 系统账号 
  • 用户账号登陆时获取权限令牌
  • 服务账号无需用户登陆已在后台启动服务
• windows 
  • user
  • Administrator
  • system
• linux 
  • user
  • root

windows

sysinternals suite

admin提权为system

• 系统设置管理功能
• sysinternal suite 
  • https://technet.microsoft.com/en-us/sysinternals/b545027
  • psexec -i -s -d taskmgr
• at 19:39 /interactive cmd
• sc Create syscmd binPath=”cmd /k start” type=own type=interact
• sc start syscmd

注入进程提权

键盘记录

• keylogger
• 木马窃取

本地缓存密码

• 浏览器缓存的密码 
  • ie浏览器
  • firefox
• 网络密码
• 无线密码

• http://www.nirsoft.net

• Dump SAM

  • Pwdump
  • /usr/share/windows-binaries/fadump/

其他工具

fgdump 
mimikatz

利用漏洞提权

• ms11-080
• 看吧592799
• pyinstaller
• pywin32
• ms11-046

利用配置不当提权

基本信息收集

隐藏痕迹

禁止在登陆界面显示新建账号

• reg add “hkey_local_machine/software/microsoft/windowsNT/currentversion/winlogon/specialaccounts/userlist” /v uname /treg_dword /d 0
• del %windir%/*.log /a/s/q/f
• history
• 日志 
  • auth.log / secure
  • btmp / wtmp
  • lastlog / faillog 
    其他日志和hids等