• 企业400电话
  • 微网小程序
  • AI电话机器人
  • 电商代运营
  • 全 部 栏 目

    企业400电话 网络优化推广 AI电话机器人 呼叫中心 网站建设 商标✡知产 微网小程序 电商运营 彩铃•短信 增值拓展业务
    Powershell 查询 Windows 日志的方法

    论坛里面有人询问如何使用powershell脚本查询文件修改的审计日志,豆子服务器没开这个功能,不过尝试写了个类似的脚本可以查询日志,并输出对应的xml内容。

    基本方法是get-winevent, 可以指定对应的eventid,获取列表。如果想获取这个事件具体的内容,需要根据不同事件的xml内容进行变化。

    比如

    $Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname='Security';Id=4771} -MaxEvents 1 
    $eventXML = [xml]$Event.ToXml() 
    $eventxml.event.event.data 

    根据这个思路,我如果想获取最新的20个4771的事件日志,并输出结果

    $Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname='Security';Id=4771} -MaxEvents 20     
           
    # Parse out the event message data       
    ForEach ($Event in $Events) {       
      # Convert the event to XML       
      $eventXML = [xml]$Event.ToXml()       
      # Iterate through each one of the XML message properties       
      For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) { 
        
           
        # Append these as object properties       
        Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name $eventXML.Event.EventData.Data[$i].name -Value $eventXML.Event.EventData.Data[$i].'#text'      
      }       
    }       
      
       
    $events | select Message, TargetUserName, ipaddress,timecreated | Out-GridView 
    

    有的时候,事件的数目很多,我希望对这个时间进行一个限制。千万别用 where-object 的方式来过滤,不然等到地老天荒也未必出结果。
    我们需要通过哈希表来过滤

    $endtime=get-date
    $starttime=$endtime.addminutes(-1) 
    $eventcritea = @{logname='security';id=4740;starttime=$starttime;endtime=$endtime}

    另外一种常见的方式是通过xmlfilter来过滤日志

    首先,我们可以通过event viewer来自定义一个xpath

    因为是不同的事件,他的eventdata结果是不一样的,因此我做了些变动。

    [xml]$xmlFilter = @" 
    QueryList> 
     Query Id="0" Path="Application"> 
      Select Path="Application">*[System[(EventID=1002) and TimeCreated[timediff(@SystemTime) lt;= 604800000]]]/Select> 
     /Query> 
    /QueryList> 
    “@ 
    #Get-WinEvent -ComputerName $DC.DC -LogName Security -FilterXPath "*[System[(EventID=529 or EventID=644 or EventID=675 or EventID=676 or EventID=681 or EventID=4625) and TimeCreated[timediff(@SystemTime) lt;= 86400000]]]" #-MaxEvents 50 
    $Events = Get-WinEvent -ComputerName syddc01 -FilterXML $xmlFilter 
    ForEach ($Event in $Events) {       
      # Convert the event to XML       
      $eventXML = [xml]$Event.ToXml()       
      # Iterate through each one of the XML message properties       
      For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) { 
        
           
        # Append these as object properties       
        Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name "App" -Value $eventXML.Event.EventData.Data[5]      
      }       
    }   
    $Events | select Message, App, providerName, timecreated | Out-GridView 
    

    结果如下

    最后再给一个例子,我希望获取lockout用户的信息以及他们是在哪里被锁住的,这个日志我们查看4771或者4740。4771的日志过多,查询太慢,所以这里我已4740为例。

    eventcritea = @{logname='security';id=4740} 
    $Events =get-winevent -ComputerName (Get-ADDomain).pdcemulator -FilterHashtable $eventcritea 
    #$Events = Get-WinEvent -ComputerName syddc01 -Filterxml $xmlfilter     
           
    # Parse out the event message data       
    ForEach ($Event in $Events) {   
        
      # Convert the event to XML       
      $eventXML = [xml]$Event.ToXml()   
          
      # Iterate through each one of the XML message properties       
      For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) { 
        
           
        # Append these as object properties       
        Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name $eventXML.Event.EventData.Data[$i].name -Value $eventXML.Event.EventData.Data[$i].'#text'      
      }       
    }       
      
       
    $events | select TargetUserName,timecreated, targetdomainname | Out-GridView -Title LockOutStatus 
    break; 
    Search-ADAccount -LockedOut | ForEach-Object {Unlock-ADAccount -Identity $_.distinguishedname }

    本文出自 “麻婆豆腐” 博客

    您可能感兴趣的文章:
    • Powershell 查找用户的主SMTP地址
    • powershell解决win10开始菜单和通知中心无法打开
    • Powershell 获取特定的网页信息的代码
    • Powershell错误处理之what-if
    • PowerShell 4.0实现自动化设置服务器
    • 揭秘PowerShell 5.0新特性和新功能
    • Windows 8 中的 PowerShell 3.0
    • PowerShell使用小技巧分享
    • 使用PowerShell修改注册表
    • PowerShell用户认证Function实例代码
    上一篇:Powershell 查找用户的主SMTP地址
    下一篇:PowerShell因为在此系统中禁止执行脚本的解决方法
  • 相关文章
  • 

    © 2016-2020 巨人网络通讯 版权所有

    《增值电信业务经营许可证》 苏ICP备15040257号-8

    Powershell 查询 Windows 日志的方法 Powershell,查询,Windows,日志,