脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 脚本专栏 → PowerShell → Windows 日志

Powershell 查询 Windows 日志的方法

 更新时间：2015年10月10日 17:09:13   投稿：mdxy-dxy  
这篇文章主要介绍了Powershell 查询 Windows 日志的方法,需要的朋友可以参考下

论坛里面有人询问如何使用powershell脚本查询文件修改的审计日志，豆子服务器没开这个功能，不过尝试写了个类似的脚本可以查询日志，并输出对应的xml内容。

基本方法是get-winevent, 可以指定对应的eventid，获取列表。如果想获取这个事件具体的内容，需要根据不同事件的xml内容进行变化。

比如

$Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname='Security';Id=4771} -MaxEvents 1 
$eventXML = [xml]$Event.ToXml() 
$eventxml.event.event.data

wKioL1X4-cOxNGptAADLqd6u8fc788.jpg

根据这个思路，我如果想获取最新的20个4771的事件日志，并输出结果

$Events = Get-WinEvent -ComputerName syddc01 -FilterHashtable @{Logname='Security';Id=4771} -MaxEvents 20     
       
# Parse out the event message data       
ForEach ($Event in $Events) {       
  # Convert the event to XML       
  $eventXML = [xml]$Event.ToXml()       
  # Iterate through each one of the XML message properties       
  For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) { 
    
       
    # Append these as object properties       
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name $eventXML.Event.EventData.Data[$i].name -Value $eventXML.Event.EventData.Data[$i].'#text'      
  }       
}       
  
   
$events | select Message, TargetUserName, ipaddress,timecreated | Out-GridView

wKioL1X4-iPDwCAuAANhZPcU2WY929.jpg

有的时候，事件的数目很多，我希望对这个时间进行一个限制。千万别用 where-object 的方式来过滤，不然等到地老天荒也未必出结果。
我们需要通过哈希表来过滤

$endtime=get-date
$starttime=$endtime.addminutes(-1) 
$eventcritea = @{logname='security';id=4740;starttime=$starttime;endtime=$endtime}

另外一种常见的方式是通过xmlfilter来过滤日志

首先，我们可以通过event viewer来自定义一个xpath

wKioL1X4-uqzi5EaAADOjL7kW3U689.jpg

wKiom1X4-UWAiui2AAGGHaznvrM148.jpg

wKioL1X4-3yxulR8AAEV0mqB1HM575.jpg

因为是不同的事件，他的eventdata结果是不一样的，因此我做了些变动。

[xml]$xmlFilter = @" 
<QueryList> 
 <Query Id="0" Path="Application"> 
  <Select Path="Application">*[System[(EventID=1002) and TimeCreated[timediff(@SystemTime) &lt;= 604800000]]]</Select> 
 </Query> 
</QueryList> 
“@ 
#Get-WinEvent -ComputerName $DC.DC -LogName Security -FilterXPath "*[System[(EventID=529 or EventID=644 or EventID=675 or EventID=676 or EventID=681 or EventID=4625) and TimeCreated[timediff(@SystemTime) &lt;= 86400000]]]" #-MaxEvents 50 
$Events = Get-WinEvent -ComputerName syddc01 -FilterXML $xmlFilter 
ForEach ($Event in $Events) {       
  # Convert the event to XML       
  $eventXML = [xml]$Event.ToXml()       
  # Iterate through each one of the XML message properties       
  For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) { 
    
       
    # Append these as object properties       
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name "App" -Value $eventXML.Event.EventData.Data[5]      
  }       
}   
$Events | select Message, App, providerName, timecreated | Out-GridView

结果如下

wKiom1X4-LfAh_1ZAAIHTGF2q2I120.jpg

最后再给一个例子，我希望获取lockout用户的信息以及他们是在哪里被锁住的，这个日志我们查看4771或者4740。4771的日志过多，查询太慢，所以这里我已4740为例。

eventcritea = @{logname='security';id=4740} 
$Events =get-winevent -ComputerName (Get-ADDomain).pdcemulator -FilterHashtable $eventcritea 
#$Events = Get-WinEvent -ComputerName syddc01 -Filterxml $xmlfilter     
       
# Parse out the event message data       
ForEach ($Event in $Events) {   
    
  # Convert the event to XML       
  $eventXML = [xml]$Event.ToXml()   
      
  # Iterate through each one of the XML message properties       
  For ($i=0; $i -lt $eventXML.Event.EventData.Data.Count; $i++) { 
    
       
    # Append these as object properties       
    Add-Member -InputObject $Event -MemberType NoteProperty -Force -Name $eventXML.Event.EventData.Data[$i].name -Value $eventXML.Event.EventData.Data[$i].'#text'      
  }       
}       
  
   
$events | select TargetUserName,timecreated, targetdomainname | Out-GridView -Title LockOutStatus 
break; 
Search-ADAccount -LockedOut | ForEach-Object {Unlock-ADAccount -Identity $_.distinguishedname }

wKioL1YCTLTT2ydOAAKYKU8Qewo401.jpg

本文出自 “麻婆豆腐” 博客

您可能感兴趣的文章:

相关文章

  • Powershell小技巧之使用WMI工具

    Powershell小技巧之使用WMI工具

    这篇文章主要介绍了Powershell使用WMI工具的小技巧,需要的朋友可以参考下
    2014-10-10
  • Powershell生成Windows密码算法简单学习

    Powershell生成Windows密码算法简单学习

    利用Powershell生成Windows密码:密码一共8位/字符的次序是随机组成的等等，接下来为你详细介绍下，感兴趣的你可以参考下哈，希望对你学习Powershell有所帮助
    2013-03-03
  • Windows Powershell对象=属性+方法

    Windows Powershell对象=属性+方法

    从今天开始，我们这个系列的教程进入到讲诉使用对象的阶段，那么本阶段的第一篇还是先来熟悉下概念，简单的说对象=属性+方法
    2014-09-09
  • PowerShell小技巧之定时记录操作系统行为

    PowerShell小技巧之定时记录操作系统行为

    这篇文章主要介绍了使用PowerShell定时记录操作系统行为的小技巧,需要的朋友可以参考下
    2014-10-10
  • PowerShell实现在多个文件中检索关键字功能

    PowerShell实现在多个文件中检索关键字功能

    这篇文章主要介绍了PowerShell实现在多个文件中检索关键字功能,本文使用Select-String解决这了个需求,需要的朋友可以参考下
    2015-01-01
  • PowerShell时间记录脚本

    PowerShell时间记录脚本

    这篇文章主要介绍了PowerShell时间记录脚本的相关资料,非常简单实用,需要的朋友可以参考下
    2015-09-09
  • PowerShell小技巧实现IE Web自动化

    PowerShell小技巧实现IE Web自动化

    使用IE的COM对象来完成简单的Web自动化测试，是最小巧和廉价的Web自动化测试了，因为它不用引入第三方插件或者工具。
    2014-09-09
  • PowerShell中查询错误编号信息的2个方法

    PowerShell中查询错误编号信息的2个方法

    这篇文章主要介绍了PowerShell中查询错误编号信息的2个方法,本文介绍使用net.exe、winrm.exe完成这个需求,其中推荐使用winrm.exe,需要的朋友可以参考下
    2014-08-08
  • PowerShell脚本实现检测网络内主机类型

    PowerShell脚本实现检测网络内主机类型

    这篇文章主要介绍了PowerShell脚本实现检测网络内主机类型,本文脚本基本功能可以实现判断主机操作系统类型,如果是域内的主机可以获取主机的硬件参数和性能参数,并判断是否存在网络设备,需要的朋友可以参考下
    2014-12-12
  • Windows Powershell 创建数组

    Windows Powershell 创建数组

    在日常处理中，除了使用像“数值类型”和“字符串类型”外，还需要使用能够包含其他对象的“集合”类型。大多数常见语言，都提供一些操作集合类型的语法。最基本的集合类型就是数组类型，它提供了一种下标基于0的数组对象。
    2014-09-09

最新评论