wevtutil
可让你检索有关事件日志和发布服务器的信息。 此外，还可以使用此命令来安装和卸载事件清单，运行查询，以及导出、存档和清除日志。
语法
wevtutil [{el | enum-logs}] [{gl | get-log} <Logname> [/f:<Format>]]
[{sl | set-log} <Logname> [/e:<Enabled>] [/i:<Isolation>] [/lfn:<Logpath>] [/rt:<Retention>] [/ab:<Auto>] [/ms:<MaxSize>] [/l:<Level>] [/k:<Keywords>] [/ca:<Channel>] [/c:<Config>]]
[{ep | enum-publishers}]
[{gp | get-publisher} <Publishername> [/ge:<Metadata>] [/gm:<Message>] [/f:<Format>]]
[{im | install-manifest} <Manifest>] [/rf:<Path>] [/mf:<Path>] [/pf:<Path>]
[{um | uninstall-manifest} <Manifest>] [{qe | query-events} <Path> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/bm:<Bookmark>] [/sbm:<Savebm>] [/rd:<Direction>] [/f:<Format>] [/l:<Locale>] [/c:<Count>] [/e:<Element>]]
[{gli | get-loginfo} <Logname> [/lf:<Logfile>]]
[{epl | export-log} <Path> <Exportfile> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/ow:<Overwrite>]]
[{al | archive-log} <Logpath> [/l:<Locale>]]
[{cl | clear-log} <Logname> [/bu:<Backup>]] [/r:<Remote>] [/u:<Username>] [/p:<Password>] [/a:<Auth>] [/uni:<Unicode>]
参数
| 参数 | 描述 |
|---|---|
| {el | enum-logs} | 显示所有日志的名称。 |
| {gl | get-log} <Logname> [/f:<Format>] | 显示指定的日志的配置信息，包括是否启用了该日志、该日志的当前最大大小限制，以及存储该日志的文件的路径。 |
| {sl | set-log} <Logname> [/e:<Enabled>] [/i:<Isolation>] [/lfn:<Logpath>] [/rt:<Retention>] [/ab:<Auto>] [/ms:<MaxSize>] [/l:<Level>] [/k:<Keywords>] [/ca:<Channel>] [/c:<Config>] | 修改指定的日志的配置。 |
| {ep | enum-publishers} | 显示本地计算机上的事件发布服务器。 |
| {gp | get-publisher} <Publishername> [/ge:<Metadata>] [/gm:<Message>] [/f:<Format>]] | 显示指定的事件发布服务器的配置信息。 |
| {im | install-manifest} <Manifest> [/{rf | resourceFilePath}:value] [/{mf | messageFilePath}:value] [/{pf | parameterFilePath}:value] |
从清单安装事件发布服务器和日志。 有关事件清单和使用此参数的详细信息，请参阅 Microsoft 开发人员网络 (MSDN) 网站 (https://msdn.microsoft.com) 上的 Windows 事件日志 SDK。 value 是上述文件的完整路径。 |
| {um | uninstall-manifest} <Manifest> | 从清单中卸载所有发布服务器和日志。 有关事件清单和使用此参数的详细信息，请参阅 Microsoft 开发人员网络 (MSDN) 网站 (https://msdn.microsoft.com) 上的 Windows 事件日志 SDK。 |
| {qe | query-events} <Path> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/bm:<Bookmark>] [/sbm:<Savebm>] [/rd:<Direction>] [/f:<Format>] [/l:<Locale>] [/c:<Count>] [/e:<Element>] | 从事件日志或日志文件中读取事件，或者使用结构化查询读取事件。 默认情况下，应该为 <Path> 提供日志名称。 但是，如果使用 /lf 选项，则 <Path> 必须是日志文件的路径。 如果使用 /sq 参数，则 <Path> 必须是包含结构化查询的文件的路径。 |
| {gli | get-loginfo} <Logname> [/lf:<Logfile>] | 显示有关事件日志或日志文件的状态信息。 如果使用 /lf 选项，则 <Logname> 是日志文件的路径。 可以运行 wevtutil el 获取日志名称列表。 |
| {epl | export-log} <Path><Exportfile> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/ow:<Overwrite>] | 从事件日志或日志文件中或者使用结构化查询将事件导出到指定的文件。 默认情况下，应该为 <Path> 提供日志名称。 但是，如果使用 /lf 选项，则 <Path> 必须是日志文件的路径。 如果使用 /sq 选项，则 <Path> 必须是包含结构化查询的文件的路径。 <Exportfile> 是存储已导出事件的文件的路径。 |
| {al | archive-log} <Logpath> [/l:<Locale>] | 以自包含格式存档指定的日志文件。 创建一个具有区域设置名称的子目录，所有特定于区域设置的信息都保存在该子目录中。 运行 wevtutil al 创建目录和日志文件后，无论发布服务器是否已安装，都可以读取文件中的事件。 |
| {cl | clear-log} <Logname> [/bu:<Backup>] | 从指定的事件日志中清除事件。 /bu 选项可用于备份已清除的事件。 |
选项
| 选项 | 描述 |
|---|---|
| /f:<Format> | 指定输出应采用 XML 或文本格式。 如果 <Format> 为 XML，则输出以 XML 格式显示。 如果 <Format> 为 Text，则显示的输出不带 XML 标记。 默认值为 Text。 |
| /e:<Enabled> | 启用或禁用日志。 <Enabled> 可为 true 或 false。 |
| /i:<Isolation> | 设置日志隔离模式。 <Isolation> 可以是系统、应用程序或自定义。 日志隔离模式确定了某个日志是否与同一 isolation 类中的其他日志共享会话。 如果指定系统隔离，则目标日志将至少与系统日志共享写入权限。 如果指定应用程序隔离，则目标日志将至少与应用程序日志共享写入权限。 如果指定自定义隔离，则还必须使用 /ca 选项提供安全描述符。 |
| /lfn:<Logpath> | 定义日志文件名。 <Logpath> 是事件日志服务将此日志的事件存储到的文件的完整路径。 |
| /rt:<Retention> | 设置日志保留模式。 <Retention> 可为 true 或 false。 当日志达到其最大大小时，日志保留模式将确定事件日志服务的行为。 如果事件日志达到其最大大小并且日志保留模式为 true，则保留现有事件，并丢弃传入的事件。 如果日志保留模式为 false，则传入的事件将覆盖日志中最早的事件。 |
| /ab:<Auto> | 指定日志自动备份策略。 <Auto> 可为 true 或 false。 如果此值为 true，则日志在达到最大大小时会自动备份。 如果此值为 true，则 retention（使用 /rt 选项指定）也必须设置为 true。 |
| /ms:<MaxSize> | 设置日志的最大大小，以字节为单位。 最小日志大小为 1048576 字节 (1024KB)，日志文件始终为 64KB 的倍数，因此输入的值将相应地四舍五入。 |
| /l:<Level> | 定义日志的级别筛选器。 <Level> 可为任何有效级别值。 此选项仅适用于具有专用会话的日志。 可以通过将 <Level> 设置为 0 来删除级别筛选器。 |
| /k:<Keywords> | 指定日志的关键字筛选器。 <Keywords> 可为任何有效的 64 位关键字掩码。 此选项仅适用于具有专用会话的日志。 |
| /ca:<Channel> | 设置事件日志的访问权限。 <Channel> 是使用安全描述符定义语言 (SDDL) 的安全描述符。 有关 SDDL 格式的详细信息，请参阅 Microsoft 开发人员网络 (MSDN) 网站 (https://msdn.microsoft.com)。 |
| /c:<Config> | 指定配置文件的路径。 此选项会导致从 <Config> 中定义的配置文件读取日志属性。 如果使用此选项，则不能指定 <Logname> 参数。 将从配置文件读取日志名称。 |
| /ge:<Metadata> | 获取此发布服务器可引发的事件的元数据信息。 <Metadata> 可为 true 或 false。 |
| /gm:<Message> | 显示实际消息而不是数字消息 ID。 <Message> 可为 true 或 false。 |
| /lf:<Logfile> | 指定是要从日志还是日志文件中读取事件。 <Logfile> 可为 true 或 false。 如果为 true，则命令的参数是日志文件的路径。 |
| /sq:<Structquery> | 指定应使用结构化查询获取事件。 <Structquery> 可为 true 或 false。 如果为 true，则 <Path> 是包含结构化查询的文件的路径。 |
| /q:<Query> | 定义 XPath 查询以筛选读取或导出的事件。 如果未指定此选项，则返回或导出所有事件。 当 /sq 为 true 时，此选项不可用。 |
| /bm:<Bookmark> | 指定包含上一查询中的书签的文件的路径。 |
| /sbm:<Savebm> | 指定用于保存此查询的书签的文件的路径。 文件扩展名应为 .xml。 |
| /rd:<Direction> | 指定读取事件的方向。 <Direction> 可为 true 或 false。 如果为 true，则首先返回最近的事件。 |
| /l:<Locale> | 定义用于以特定区域设置输出事件文本的区域设置字符串。 仅当使用 /f 选项以文本格式输出事件时才可用。 |
| /c:<Count> | 设置要读取的最大事件数。 |
| /e:<Element> | 以 XML 格式显示事件时包括根元素。 Element 是根元素中所需的字符串<>。 例如，/e:root 会生成包含根元素对 <root> 的 XML。 |
| /ow:<Overwrite> | 指定应覆盖导出文件。 <Overwrite> 可为 true 或 false。 如果为 true，并且 <Exportfile> 中指定的导出文件已存在，则会覆盖该文件且无需确认。 |
| /bu:<Backup> | 指定用于存储已清除事件的文件的路径。 在备份文件名中包含 .evtx 扩展名。 |
| /r:<Remote> | 在远程计算机上运行命令。 <Remote> 是远程计算机的名称。 im 和 um 参数不支持远程操作。 |
| /u:<Username> | 指定要登录到远程计算机的其他用户。 <Username> 是“域\用户”格式的用户名，或者为用户。 仅当指定了 /r 选项时，此选项才适用。 |
| /p:<Password> | 指定用户的密码。 如果使用了 /u 选项但未指定此选项，或 <Password> 为 *，则系统会提示用户输入密码。 仅当指定了 /u 选项时，此选项才适用。 |
| /a:<Auth> | 定义用于连接到远程计算机的身份验证类型。 <Auth> 可为 Default、Negotiate、Kerberos 或 NTLM。 默认值为 Negotiate。 |
| /uni:<Unicode> | 以 Unicode 格式显示输出。 <Unicode> 可为 true 或 false。 如果 <Unicode> 为 true，则输出采用 Unicode 格式。 |
注解
通过 sl 参数使用配置文件
配置文件是一个 XML 文件，其格式与 wevtutil gl <Logname> /f:xml 的输出相同。 显示启用保留、启用自动备份和设置应用程序日志的最大日志大小的配置文件的格式：
<?xml version=1.0 encoding=UTF-8?> <channel name=Application isolation=Application xmlns=https://schemas.microsoft.com/win/2004/08/events> <logging> <retention>true</retention> <autoBackup>true</autoBackup> <maxSize>9000000</maxSize> </logging> <publishing> </publishing> </channel>
示例
列出所有日志的名称：
wevtutil el
以 XML 格式显示有关本地计算机上系统日志的配置信息：
wevtutil gl System /f:xml
使用配置文件设置事件日志属性（有关配置文件的示例，请参阅“备注”）：
wevtutil sl /c:config.xml
显示有关 Microsoft-Windows-Eventlog 事件发布服务器的信息，包括有关发布服务器可引发的事件的元数据：
wevtutil gp Microsoft-Windows-Eventlog /ge:true
从 myManifest.xml 清单文件安装发布服务器和日志：
wevtutil im myManifest.xml
从 myManifest.xml 清单文件卸载发布服务器和日志：
wevtutil um myManifest.xml
以文本格式显示应用程序日志中的最近三个事件：
wevtutil qe Application /c:3 /rd:true /f:text
显示应用程序日志的状态：
wevtutil gli Application
将系统日志中的事件导出到 C:\backup\system0506.evtx：
wevtutil epl System C:\backup\system0506.evtx
将所有事件保存到 C:\admin\backups\a10306.evtx 后从应用程序日志中清除这些事件：
wevtutil cl Application /bu:C:\admin\backups\a10306.evtx
以自包含格式存档指定的 (.evtx) 日志文件。 创建一个子目录 (LocaleMetaData)，并将所有特定于区域设置的信息保存到该子目录：
wevtutil archive-log "C:\backup\Application.evtx" /locale:en-us