wevtutil简介与使用

目录

一、wevtutil简介

二、wevtutil简单使用

三、参考资料

---

一、wevtutil简介

        wevtutil是微软Windows eventlog有关的工具，可以用于检索有关事件日志、导出、清除、归档事件日志等。

        语法：

wevtutil [{el | enum-logs}] [{gl | get-log} <Logname> [/f:<Format>]]
[{sl | set-log} <Logname> [/e:<Enabled>] [/i:<Isolation>] [/lfn:<Logpath>] [/rt:<Retention>] [/ab:<Auto>] [/ms:<MaxSize>] [/l:<Level>] [/k:<Keywords>] [/ca:<Channel>] [/c:<Config>]]
[{ep | enum-publishers}]
[{gp | get-publisher} <Publishername> [/ge:<Metadata>] [/gm:<Message>] [/f:<Format>]] 
[{im | install-manifest} <Manifest>] [/rf:<Path>] [/mf:<Path>] [/pf:<Path>] 
[{um | uninstall-manifest} <Manifest>] [{qe | query-events} <Path> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/bm:<Bookmark>] [/sbm:<Savebm>] [/rd:<Direction>] [/f:<Format>] [/l:<Locale>] [/c:<Count>] [/e:<Element>]]
[{gli | get-loginfo} <Logname> [/lf:<Logfile>]]
[{epl | export-log} <Path> <Exportfile> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/ow:<Overwrite>]]
[{al | archive-log} <Logpath> [/l:<Locale>]]
[{cl | clear-log} <Logname> [/bu:<Backup>]] [/r:<Remote>] [/u:<Username>] [/p:<Password>] [/a:<Auth>] [/uni:<Unicode>]

二、wevtutil简单使用

1、列出所有的事件日志

wevtutil el

2、导出事件日志

1、导出系统事件日志到D盘 
wevtutil epl System D:\System.evtx 

2、导出应用程序事件日志到D盘 
wevtutil epl Application D:\Application.evtx

3、清除事件日志

1、清除系统事件日志 wevtutil cl System 
2、清除应用程序事件日志 wevtutil cl Application 
3、清除系统事件日志并保存到D盘内 wevtutil cl System /bu:D:\System.evtx

三、参考资料

1、wevtutil | Microsoft Learn