本文介绍了如何下载并使用LogParser工具来解析Windows的Security.evtx日志文件。通过管理员权限运行，利用SQL语句选择特定事件ID、时间戳、用户名和登录IP等信息，将日志数据导出到SQLServer数据库中，以便进一步分析。
官网下载logparser工具：
解压到
打开logparser：在win搜索管理员运行
查看当前日志所支持的字段：
LogParser.exe -h -i:evt
最基本的格式：LogParser –i:输入文件的格式 –o:输出格式 “SQL语句”
执行命令：
LogParser.exe -i:EVT –o:DATAGRID
"SELECT
EventID,
TimeGenerated as LoginTime,
EXTRACT_TOKEN(Strings,5,'|') as Username,
EXTRACT_TOKEN(Message,38,' ') as Loginip
FROM Security.evtx where EventID=4624"
命令运行成功后，即可在SQL Server数据库中使用已导入的日志
扫一扫
660
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
