本文介绍了如何通过事件查看器来查看Windows系统的登录记录。主要涉及事件ID4624、4625、4634、4647和4648，以及LogonType的解析，帮助用户识别真实的用户登录行为。通过筛选特定事件ID，可以获取用户登录、注销及远程登录的详细信息，包括IP地址等关键数据。
起因：回到工位发现自己电脑没锁屏，突然想找到查看windows登录记录的方法
参考：
http://www.cflab.net/News/1522379153901
https://blog.csdn.net/C_chuxin/article/details/84974207
https://www.akunblog.com/archives/275.html
操作方法：
打开事件查看器
事件查看器->windows日志->安全
右侧选择筛选当前日志
筛选事件ID
- 4624 - 帐户已成功登录
- 4625 - 帐户登录失败
- 4634 - 帐户被注销
- 4647 - 用户发起注销
- 4648 - 试图使用明确的凭证登录（可以查看远程登陆的相关信息，比如IP地址等）
发现筛选事件ID为4624时，并不是所有的日志都是用户登录行为
TargetUserName为SYSTEM的，LogonType为5的不是用户的登陆行为
TargetUserName为本机微软账户的，LogonType为7的通常所说的用户登陆
LogonType的具体释义：
或者可以筛选事件ID为4648的事件，都是用户手动登录系统的事件
事件ID为4634的事件，为用户锁屏注销的事件
筛选事件ID4634和4648，则可以看到连贯的注销和登录记录
1081
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
