Windows XML Event Log (EVTX)单条日志清除（二）——程序实现删除evtx文件的单条日志记录

Windows XML Event Log (EVTX)单条日志清除系列文章的第二篇，介绍对指定evtx文件的单条日志删除方法，解决在程序设计上需要考虑的多个问题，开源实现代码。

0x01 简介

本文将要介绍以下内容：

• 对指定evtx文件单条日志的删除思路

• 程序实现细节

• 开源代码

0x02 对指定evtx文件单条日志的删除思路

注：

图片来自https://blog.fox-it.com/2017/12/08/detection-and-recovery-of-nsas-covered-up-tracks/

这种方法在实现上相对简单，但是需要考虑多种不同的情况：

删除中间日志

删除最后一条日志

删除第一条日志

0x03 删除中间日志

读取日志文件内容

定义日志文件格式结构体，对日志文件格式进行解析

Next record identifier值减1：

FileHeader->NextRecordIdentifier = FileHeader->NextRecordIdentifier-1

计算CRC校验和的c代码如下：

unsigned int CRC32[256];
static void init_table()
{
   int i, j;
   unsigned int crc;
   for (i = 0; i < 256; i++)
   {
       crc = i;
       for (j = 0; j < 8; j++)
       {
           if (crc & 1)
               crc = (crc >> 1) ^ 0xEDB88320;
           else
               crc = crc >> 1;
       }
       CRC32[i] = crc;
   }
}
unsigned int GetCRC32(unsigned char *buf, int len)
{
   unsigned int ret = 0xFFFFFFFF;
   int i;
   static char init = 0;
   if (!init)
   {
       init_table();
       init = 1;
   }
   for (i = 0; i < len; i++)
   {
       ret = CRC32[((ret & 0xFF) ^ buf[i])] ^ (ret >> 8);
   }
   ret = ~ret;
   return ret;
}

代码如下：

unsigned char *ChecksumBuf = new unsigned char[120];
memcpy(ChecksumBuf, (PBYTE)elfFilePtr, 120);
crc32 = GetCRC32(ChecksumBuf, 120);

更新长度：

PrevRecord->Size = NewSize

使用NewSize替换NextRecord起始点前的4字节：

*(PULONG)((PBYTE)NextRecord-4) = NewSize

遍历后续日志，Event record identifier依次减1

需要修改两个位置：

CurrentRecord->EventRecordIdentifier = CurrentRecord->EventRecordIdentifier-1
CurrentRecord->Template->EventRecordIdentifier = CurrentRecord->Template->EventRecordIdentifier-1

5、ElfChuk中的Last event record number减1

ElfChuk->LastEventRecordNumber = ElfChuk->LastEventRecordNumber-1

6、 ElfChuk中的Last event record identifier减1

ElfChuk->LastEventRecordIdentifier = ElfChuk->LastEventRecordIdentifier-1

7、重新计算ElfChuk中Event records checksum

unsigned char *ChecksumBuf = new unsigned char[currentChunk->FreeSpaceOffset - 512];        
memcpy(ChecksumBuf, (PBYTE)currentChunk+512, currentChunk->FreeSpaceOffset - 512);
crc32 = GetCRC32(ChecksumBuf, currentChunk->FreeSpaceOffset - 512);

8、 重新计算ElfChuk中Checksum

unsigned char *ChecksumBuf = new unsigned char[504];
memcpy(ChecksumBuf, (PBYTE)currentChunk, 120);
memcpy(ChecksumBuf+120, (PBYTE)currentChunk+128, 384);
crc32 = GetCRC32(ChecksumBuf, 504);

区别如下：

1. 后续日志的Event record identifier不需要减1，因为没有后续日志

2. 需要重新计算ElfChuk中的Last event record data offset

程序细节如下：

1. 重新计算ElfChuk中的Last event record data offset