Coda是一款支持Windows/Linux系统的入侵痕迹抹除工具，可以帮助攻击者迅速消除入侵痕迹，使用Golang语言编写。
git clone https://github.com/Symph0nia/Coda.gitcd Coda
go build ./main.go
Coda接收三个参数，分别为：
./coda -D # 删除所有的日志信息
./coda -B # 删除大型的的日志信息，将小型的日志信息备份到/TEMP或/tmp文件夹下
./coda -R # 恢复备份的日志信息到原位置
Coda的基本用法即直接删除所有的日志，从而实现对溯源的打击。
Coda的进阶用法为Backup 2 Restore
在渗透成功后，运行Coda -B，对当前的日志信息进行镜像保存，接下来可以进行敏感操作，例如数据获取，数据删除一类。
在渗透结束阶段，运行Coda -R，对已经保存的日志信息进行恢复，不对日志系统进行完全清除，从而实现一个优雅的空白监控时间。
Warning
Coda对系统文件所造成的伤害是不可逆的，慎用。
目前的日志分类规则：大于100MB
目前的清除日志列表：
Windows：
| 日志文件路径 | 作用 |
|---|---|
C:\\Windows\\System32\\winevt\\Logs\\Security.evtx |
记录安全相关事件，例如登录尝试、权限使用等。 |
C:\\Windows\\System32\\winevt\\Logs\\Application.evtx |
记录应用程序相关事件，由应用程序生成的日志信息。 |
C:\\Windows\\System32\\winevt\\Logs\\System.evtx |
记录系统级别事件，包括驱动程序加载、系统组件的启动和停止等。 |
C:\\Program Files\\Apache Group\\Apache2\\logs\\access.log |
记录Apache服务器的访问日志，包括每个请求的详细信息。 |
C:\\Program Files\\Apache Group\\Apache2\\logs\\error.log |
记录Apache服务器的错误日志，包括启动、运行时错误和异常。 |
C:\\Program Files (x86)\\IIS Express\\Logs\\IISExpress.log |
记录IIS Express的日志，包括访问和错误信息。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-User Profile Service%4Operational.evtx |
记录用户配置文件服务的操作日志。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-DNS-Client%4Operational.evtx |
记录DNS客户端操作日志。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-DNS-Server%4Analytical.evtx |
记录DNS服务器分析日志，用于诊断DNS问题。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-Windows Firewall With Advanced Security%4Firewall.evtx |
记录高级安全Windows防火墙的操作日志。 |
C:\\Windows\\System32\\LogFiles\\Firewall\\pfirewall.log |
记录Windows防火墙日志，包括被允许或被阻止的网络连接。 |
C:\\Windows\\System32\\LogFiles\\W3SVC1\\ |
记录IIS Web服务的日志，包括访问和错误日志。 |
C:\\Windows\\System32\\LogFiles\\HTTPERR\\httperr1.log |
记录IIS HTTP错误日志，包括无法处理的HTTP请求。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-Security-Auditing.evtx |
记录安全审计日志，包括成功和失败的安全事件。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-TaskScheduler%4Operational.evtx |
记录任务计划程序的操作日志。 |
C:\\Windows\\Temp |
存储临时文件，通常用于短期存储。 |
filepath.Join("C:\\Users", username, "AppData\\Local\\Temp") |
当前用户的本地临时文件夹，存储临时文件。 |
filepath.Join("C:\\Users", username, "AppData\\LocalLow\\Temp") |
当前用户的本地低权限临时文件夹，存储低权限临时文件。 |
filepath.Join("C:\\Users", username, "AppData\\Roaming\\Microsoft\\Windows\\Recent") |
记录当前用户最近访问的文件和文件夹。 |
filepath.Join("C:\\Users", username, "AppData\\Local\\Microsoft\\Windows\\INetCache") |
存储浏览器缓存文件。 |
filepath.Join("C:\\Users", username, "AppData\\Local\\Microsoft\\Windows\\History") |
存储浏览器历史记录。 |
filepath.Join("C:\\Users", username, "Documents") |
当前用户的文档文件夹，存储用户的文档文件。 |
filepath.Join("C:\\Users", username, "Downloads") |
当前用户的下载文件夹，存储用户下载的文件。 |
C:\\inetpub\\logs\\LogFiles\\W3SVC1\\ |
记录IIS Web服务的访问日志。 |
C:\\inetpub\\logs\\FailedReqLogFiles\\ |
记录IIS失败的请求日志，用于诊断失败的HTTP请求。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-SMBClient\\Operational.evtx |
记录SMB客户端操作日志。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-RemoteDesktopServices-RdpCoreTS\\Operational.evtx |
记录远程桌面服务操作日志。 |
C:\\Windows\\System32\\winevt\\Logs\\Microsoft-Windows-TerminalServices-LocalSessionManager\\Operational.evtx |
记录终端服务本地会话管理器操作日志。 |
Linux：
| 日志文件路径 | 作用 |
|---|---|
/var/log/syslog |
记录系统日志，包括内核消息、服务启动和停止、各种系统事件。 |
/var/log/messages |
记录一般系统消息和非关键系统错误。 |
/var/log/auth.log |
记录认证相关的日志，包括登录尝试、sudo使用等。 |
/var/log/lastlog |
记录上次登录的信息。 |
/var/log/wtmp |
记录登录和注销事件的永久日志。 |
/var/log/btmp |
记录失败的登录尝试。 |
/var/log/faillog |
记录失败的用户登录信息。 |
/var/log/apache2/access.log |
记录Apache服务器的访问日志，包括每个请求的详细信息。 |
/var/log/apache2/error.log |
记录Apache服务器的错误日志，包括启动、运行时错误和异常。 |
/var/log/nginx/access.log |
记录Nginx服务器的访问日志，包括每个请求的详细信息。 |
/var/log/nginx/error.log |
记录Nginx服务器的错误日志，包括启动、运行时错误和异常。 |
/var/log/mysql/error.log |
记录MySQL数据库的错误日志，包括启动、运行时错误和异常。 |
/var/log/mysql/mysql.log |
记录MySQL数据库的一般操作日志。 |
/var/log/daemon.log |
记录守护进程的日志，包括系统服务的启动和停止。 |
/var/log/kern.log |
记录内核日志，包括内核启动信息和运行时的错误。 |
/var/log/mail.log |
记录邮件系统的日志，包括邮件传输信息。 |
/var/log/mail.err |
记录邮件系统的错误日志。 |
/var/log/secure |
记录安全相关的日志，包括登录、认证和授权信息。 |
/var/log/audit/audit.log |
记录系统审计日志，包括SELinux和其他安全模块的事件。 |
/var/log/sudo.log |
记录sudo命令的使用情况。 |
/tmp/ |
临时文件目录，存储系统和用户的临时文件。 |
/var/tmp/ |
临时文件目录，存储系统和用户的临时文件，通常比/tmp的生命周期更长。 |
/home/*/.bash_history |
记录每个用户的bash历史命令。 |
/home/*/.zsh_history |
记录每个用户的zsh历史命令。 |
/root/.bash_history |
记录root用户的bash历史命令。 |
/root/.zsh_history |
记录root用户的zsh历史命令。 |
/var/log/sshd.log |
记录SSH守护进程的日志。 |
/var/run/utmp |
记录当前登录用户的信息。 |
/var/log/dmesg |
记录内核环形缓冲区的消息，通常包括系统启动信息。 |
/var/log/yum.log |
记录Yum包管理器的操作日志。 |
/var/log/apt/history.log |
记录APT包管理器的历史日志。 |
/var/log/apt/term.log |
记录APT包管理器的终端日志，包括包安装和卸载的信息。 |
/var/log/journal/ |
systemd的日志目录，记录所有使用systemd管理的服务和系统事件。 |
/var/log/rkhunter/rkhunter.log |
记录Rootkit Hunter的扫描日志。 |
/var/log/chkrootkit/chkrootkit.log |
记录Chkrootkit工具的扫描日志。 |
/var/log/docker.log |
记录Docker的日志，包括容器的启动和停止信息。 |
/var/log/kubernetes/ |
记录Kubernetes的日志，包括集群中各组件的事件。 |
/var/log/containers/ |
记录容器的日志，通常包括Docker和Kubernetes管理的容器。 |
/var/log/postgresql/ |
记录PostgreSQL数据库的日志。 |
/var/log/mongodb/mongod.log |
记录MongoDB数据库的日志，包括启动和运行时信息。 |
/var/log/redis/redis.log |
记录Redis数据库的日志。 |
/var/log/tomcat/ |
记录Tomcat应用服务器的日志，包括访问和错误日志。 |
/var/log/glassfish/ |
记录GlassFish应用服务器的日志，包括访问和错误日志。 |
/var/log/maillog |
记录邮件传输代理（MTA）的日志，包括邮件传输信息。 |
/var/log/mail.err |
记录邮件传输代理（MTA）的错误日志。 |
/var/log/firewalld |
记录Firewalld的日志，包括防火墙规则的应用和事件。 |
/var/log/iptables.log |
记录Iptables的日志，包括防火墙规则的应用和事件。 |
/var/log/samba/* |
记录Samba服务的日志，包括文件共享和打印服务的事件。 |
/var/log/rsyncd.log |
记录Rsync守护进程的日志，包括文件同步和传输的事件。 |
/var/log/wtmp.1 |
记录历史登录和注销事件的归档日志。 |
/var/log/btmp.1 |
记录历史失败的登录尝试的归档日志。 |