如何隱藏指定條Windows事件日志
我們知道Windows 事件查看器只提供了刪除全部日志的功能，并沒有提供刪除特定日志的功能，那我們?nèi)绾蝿h除指定的日志？
原理：
刪除單條事件日志：
刪除單條日志內(nèi)容的方法：
- FileHeader 中的下一個(gè)記錄標(biāo)識(shí)符的值減一。（下一個(gè)記錄標(biāo)識(shí)符偏移量為24）
- 重新計(jì)算FileHeader中的校驗(yàn)和（校驗(yàn)和偏移量為124）
- 修改事件記錄，找到需要?jiǎng)h除的記錄，和需要?jiǎng)h除記錄的前一條，計(jì)算日志長度，更新事件記錄標(biāo)識(shí)符
- 更新ElfChnk，需要修改的內(nèi)容是：最后一個(gè)事件編號(hào)、最后一個(gè)事件標(biāo)識(shí)符、最后一個(gè)事件記錄數(shù)據(jù)偏移量、事件記錄校驗(yàn)和（CRC32）、校驗(yàn)和（頭部前120字節(jié)和第128字節(jié)到512字節(jié)）
具體操作：
首先打開事件查看器，確定我們要?jiǎng)h除的日志的EventRecordID。
image-20200427214116761
這里是EventRecordID是19。使用16進(jìn)制文件編輯器打卡事件日志文件。
- 首先修改文件頭中的下一個(gè)記錄標(biāo)識(shí)符的值。
image-20200427214300372
這里是0x14將其減一，修改為0x13。這里需要注意，事件日志文件字節(jié)序?yàn)樾《耍臀辉谇啊?/p>
image-20200427214331082
- 重新計(jì)算文件頭中的校驗(yàn)和。
計(jì)算方法：前120字節(jié)做CRC32運(yùn)算。校驗(yàn)和偏移量為124 長度為4
CRC32計(jì)算Python實(shí)現(xiàn)
import binascii
def CRC32(content):
return "%08x"%(binascii.crc32(binascii.a2b_hex(content))&0xffffffff)
print(CRC32(input()))
取前120字節(jié)數(shù)據(jù)，計(jì)算CRC32。獲得結(jié)果0x92fb7778，修改文件內(nèi)容如下圖：
image-20200427214538558
image-20200427214525465
- 修改事件記錄
查找16進(jìn)制值2A2A0000，定位到第19條事件日志。長度為0x4D8，如下圖：
image-20200427214654215
第18條長度是0x450，如下圖：
image-20200427214723416
計(jì)算新的長度：0x4d8+0x450=0x928，需要修改的位置有兩個(gè)地方，一個(gè)是第7條日志的長度，另一個(gè)是第8條日志的尾部。
第18條日志：
image-20200427215119757
第19條日志：
image-20200427215042452
- 更新EifChnk：
搜索EifChnk關(guān)鍵字，如下圖：
image-20200427215308585
需要修改的內(nèi)容：
| 需要修改的內(nèi)容 | 值 |
|---|---|
| 最后一個(gè)事件編號(hào) | 0x12 |
| 最后一個(gè)事件標(biāo)識(shí)符 | 0x12 |
| 最后一個(gè)事件記錄數(shù)據(jù)偏移量 | 0x4f68 |
| 事件記錄校驗(yàn)和（0x1200到最后一個(gè)事件結(jié)束 CRC32計(jì)算） | 0x7d800e45 |
| 校驗(yàn)和（頭部前120字節(jié)和第128字節(jié)到512字節(jié) CRC32計(jì)算） | 0xaddaa5cb |
image-20200427221752928
- 用事件查看器查看
保存后，用事件管理器打開，發(fā)現(xiàn)事件數(shù)減少了，對(duì)照修改之前的事件列表，發(fā)現(xiàn)減少的一個(gè)正是我們隱藏掉的那一個(gè)。
image-20200427221849166
至此，我們能夠隱藏掉指定條Windows事件日志了。
