WEVTUtil 导出特定事件

Question

我只想从安全中导出事件 id 4624

下面的代码从安全中导出所有事件（我只想要 4624）；

WEVTUtil query-events Security /rd:true /format:text > %~dp0Logins.txt /q:"<EventID>4624</EventID>"

当导出所有 4624 个事件时，我只想过滤事件：

<Data Name='LogonProcessName'>User32 </Data>

这将是带有 IP 的 RDP 日志，因为“Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational”中的日志没有 IP（只有用户名）：（我听说这是因为 RDP 连接受 TLS 保护...

Answer 1

我只想从安全中导出 Event ID 4624

WEVTUtil query-events Security /rd:true /format:text > "%~dp0Logins.txt"<EventID>4624</EventID>"

您对/q 选项使用了错误的格式。

使用以下命令行：

wevtutil qe Security "/q:*[System [(EventID=4648)]]" /rd:true /f:text > "%~dp0Logins.txt"

---

如何将过滤器限制为包含User32 的Event ID 4624？

当导出所有 4624 个事件时，我只想过滤事件：

<Data Name='LogonProcessName'>User32 </Data>

使用以下命令行：

wevtutil qe Security "/q:*[System [(EventID=4648)]]" /rd:true | findstr User32 >nul && wevtutil qe Security "/q:*[System [(EventID=4648)]]" /f:text /rd:true > "%~dp0Logins.txt"

代码基于以下源链接。

来源How to use wevtutil command to get event details if it only comply with specific text or word

---

进一步阅读

• An A-Z Index of the Windows CMD command line - 与 Windows cmd 行相关的所有内容的绝佳参考。
• findstr - 在文件中搜索字符串。
• wevutil - Windows 事件命令行实用程序。