Windows XML Event Log (EVTX)单条日志清除（二）——程序实现删除evtx文件的单条日志记录

0x00 前言

Windows XML Event Log (EVTX)单条日志清除系列文章的第二篇，介绍对指定evtx文件的单条日志删除方法，解决在程序设计上需要考虑的多个问题，开源实现代码。

0x01 简介

本文将要介绍以下内容：

  • 对指定evtx文件单条日志的删除思路
  • 程序实现细节
  • 开源代码

0x02 对指定evtx文件单条日志的删除思路

在上篇文章《Windows XML Event Log (EVTX)单条日志清除（一）——删除思路与实例》介绍了evtx日志文件中删除单条日志的原理和一个实例，采用修改日志长度的方法实现日志删除

实现思路如图

Alt text

注：

图片来自https://blog.fox-it.com/2017/12/08/detection-and-recovery-of-nsas-covered-up-tracks/

这种方法在实现上相对简单，但是需要考虑多种不同的情况：

  1. 删除中间日志
  2. 删除最后一条日志
  3. 删除第一条日志

0x03 删除中间日志

方法如下：

  1. File header中的Next record identifier值减1
  2. 重新计算File header中的Checksum
  3. 重新计算前一日志长度，共2个位置(偏移4和当前日志的最后4字节)
  4. 后续日志的Event record identifier依次减1
  5. ElfChuk中的Last event record number减1
  6. ElfChuk中的Last event record identifier减1
  7. 重新计算ElfChuk中Event records checksum
  8. 重新计算ElfChuk中Checksum

在程序实现上，具体细节如下：

1、File header中的Next record identifier值减1

读取日志文件内容

定义日志文件格式结构体，对日志文件格式进行解析

Next record identifier值减1：

FileHeader->NextRecordIdentifier = FileHeader->NextRecordIdentifier-1

2、重新计算File header中的Checksum

计算CRC校验和的c代码如下：

unsigned int CRC32[256];
static void init_table()
{
	int i, j;
	unsigned int crc;
	for (i = 0; i < 256; i++)
	{
		crc = i;
		for (j = 0; j < 8; j++)
		{
			if (crc & 1)
				crc = (crc >> 1) ^ 0xEDB88320;
			else
				crc = crc >> 1;
		}
		CRC32[i] = crc;
	}
}

unsigned int GetCRC32(unsigned char *buf, int len)
{
	unsigned int ret = 0xFFFFFFFF;
	int i;
	static char init = 0;
	if (!init)
	{
		init_table();
		init = 1;
	}
	for (i = 0; i < len; i++)
	{
		ret = CRC32[((ret & 0xFF) ^ buf[i])] ^ (ret >> 8);
	}
	ret = ~ret;
	return ret;
}

计算File header前120字节的Checksum

代码如下：

unsigned char *ChecksumBuf = new unsigned char[120];
memcpy(ChecksumBuf, (PBYTE)elfFilePtr, 120);
crc32 = GetCRC32(ChecksumBuf, 120);

3、重新计算前一日志长度，共2个位置(偏移4和当前日志的最后4字节)

通过搜索magic string 0x2A 0x2A 0x00 0x00逐个定位Event Record

(1)定位待删除的日志CurrentRecord

读取长度，即CurrentRecord->Size

(2) 定位前一日志PrevRecord

读取长度，即PrevRecord->Size

计算合并后的长度：

NewSize = CurrentRecord->Size + PrevRecord->Size

更新长度：

PrevRecord->Size = NewSize

(3) 定位后一日志NextRecord

使用NewSize替换NextRecord起始点前的4字节：

*(PULONG)((PBYTE)NextRecord-4) = NewSize

4、后续日志的Event record identifier依次减1

遍历后续日志，Event record identifier依次减1

需要修改两个位置：

CurrentRecord->EventRecordIdentifier = CurrentRecord->EventRecordIdentifier-1 
CurrentRecord->Template->EventRecordIdentifier = CurrentRecord->Template->EventRecordIdentifier-1

5、ElfChuk中的Last event record number减1

ElfChuk->LastEventRecordNumber = ElfChuk->LastEventRecordNumber-1

6、 ElfChuk中的Last event record identifier减1

ElfChuk->LastEventRecordIdentifier = ElfChuk->LastEventRecordIdentifier-1

7、重新计算ElfChuk中Event records checksum

unsigned char *ChecksumBuf = new unsigned char[currentChunk->FreeSpaceOffset - 512];		
memcpy(ChecksumBuf, (PBYTE)currentChunk+512, currentChunk->FreeSpaceOffset - 512);
crc32 = GetCRC32(ChecksumBuf, currentChunk->FreeSpaceOffset - 512);

8、 重新计算ElfChuk中Checksum

unsigned char *ChecksumBuf = new unsigned char[504];
memcpy(ChecksumBuf, (PBYTE)currentChunk, 120);
memcpy(ChecksumBuf+120, (PBYTE)currentChunk+128, 384);
crc32 = GetCRC32(ChecksumBuf, 504);

0x04 删除最后一条日志

删除最后一条日志在上篇文章《Windows XML Event Log (EVTX)单条日志清除（一）——删除思路与实例》做过实例演示，与删除中间日志的方法基本相同

区别如下：

  1. 后续日志的Event record identifier不需要减1，因为没有后续日志
  2. 需要重新计算ElfChuk中的Last event record data offset

程序细节如下：

1、重新计算ElfChuk中的Last event record data offset

ElfChuk->LastEventRecordDataOffset = ElfChuk->LastEventRecordDataOffset-LastRecord->Size

0x05 删除第一条日志

修改日志长度的方法不适用于删除第一条日志，因为没有前一个日志覆盖当前日志

如果想要依旧使用覆盖长度的方法实现，需要对日志的文件格式做进一步分析

我们知道，Event Record的内容以Binary XML格式保存

Binary XML格式可参考：

https://github.com/libyal/libevtx/blob/master/documentation/Windows%20XML%20Event%20Log%20(EVTX).asciidoc#4-binary-xml

通过修改Binary XML格式的内容实现合并日志，需要修改以下内容：

  • Written date and time
  • Template definition Data size
  • Next template definition offset

注：

该方法同样适用于修改中间日志和最后一条日志，所以说，只要理解了日志格式，删除的方法不唯一

其他实现的细节见开源代码，地址如下：

https://github.com/3gstudent/Eventlogedit-evtx--Evolution/blob/master/DeleteRecordofFile.cpp

代码实现了读取指定日志文件c:\\test\\Setup.evtx，删除单条日志(EventRecordID=14)，并保存为新的日志文件c:\\test\\SetupNew.evtx

注：

在代码的实现细节上我参考了看雪上的Demo代码，地址如下：

https://bbs.pediy.com/thread-219313.htm

0x06 小结

本文介绍了删除evtx文件单条日志记录的思路和程序实现细节，开源代码。删除单条日志记录的方法不唯一。接下来将会介绍删除当前系统单条日志记录的多个方法。

LEAVE A REPLY

Written on June 2, 2018