这个vbs是用于查看用户在那一台机登陆，主要用于日常系统管理之用，所以并不是考虑各种可能出现的情况，请根据自己的系统情况作适当的调试。

 
  
  1. intNumberID = 4624 ' Event ID Number; 4634: logoff, 4624: logon 
  2. strdc = "dc1" 'domain contraller 
  3. struser = "steven.thibault" 
  4. str2 = "Source Network Address" 
  5.  
  6. Set objWMI = GetObject("winmgmts:{impersonationLevel=impersonate}!\\" & strdc & "\root\cimv2") 
  7. Set colLoggedEvents = objWMI.ExecQuery ("Select * from Win32_NTLogEvent Where Logfile = 'Security'" ) 
  8.  
  9. For Each objEvent in colLoggedEvents 
  10. If objEvent.EventCode = intNumberID Then 
  11.     If InStr(objEvent.message, struser) Then 
  12.     'dim a() as STIRNG  
  13.     'msgbox(objEvent.message) 
  14.     a=split(objEvent.message,vbcrlf) 
  15.     'vbcrlf:回车换行 vbcr:回车 vblf:换行 
  16.     For i = 0 To UBound(a) 
  17.         'msgbox(a(i)) 
  18.         If InStr(a(i),struser) Then 
  19.         msgbox(a(i)) 
  20.         End If 
  21.         If InStr(a(i),str2) Then 
  22.         '大小写有关 
  23.         msgbox(a(i)) 
  24.         End If 
  25.     Next 
  26.     msgbox(objEvent.TimeWritten) 
  27.     Exit for 
  28.     End if 
  29. End if 
  30. next