Not
Bu sayfaya erişim yetkilendirme gerektiriyor. Oturum açmayı veya dizinleri değiştirmeyi deneyebilirsiniz.
Bu sayfaya erişim yetkilendirme gerektiriyor. Dizinleri değiştirmeyi deneyebilirsiniz.
Olay günlükleri ve yayımcılar hakkında bilgi almanızı sağlar. Olay bildirimlerini yüklemek ve kaldırmak, sorgu çalıştırmak ve günlükleri dışarı aktarmak, arşivleyip temizlemek için de bu komutu kullanabilirsiniz.
Syntax
wevtutil [{el | enum-logs}] [{gl | get-log} <Logname> [/f:<Format>]]
[{sl | set-log} <Logname> [/e:<Enabled>] [/i:<Isolation>] [/lfn:<Logpath>] [/rt:<Retention>] [/ab:<Auto>] [/ms:<MaxSize>] [/l:<Level>] [/k:<Keywords>] [/ca:<Channel>] [/c:<Config>]]
[{ep | enum-publishers}]
[{gp | get-publisher} <Publishername> [/ge:<Metadata>] [/gm:<Message>] [/f:<Format>]]
[{im | install-manifest} <Manifest>] [/rf:<Path>] [/mf:<Path>] [/pf:<Path>]
[{um | uninstall-manifest} <Manifest>] [{qe | query-events} <Path> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/bm:<Bookmark>] [/sbm:<Savebm>] [/rd:<Direction>] [/f:<Format>] [/l:<Locale>] [/c:<Count>] [/e:<Element>]]
[{gli | get-loginfo} <Logname> [/lf:<Logfile>]]
[{epl | export-log} <Path> <Exportfile> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/ow:<Overwrite>]]
[{al | archive-log} <Logpath> [/l:<Locale>]]
[{cl | clear-log} <Logname> [/bu:<Backup>]] [/r:<Remote>] [/u:<Username>] [/p:<Password>] [/a:<Auth>] [/uni:<Unicode>]
Parameters
| Parameter | Description |
|---|---|
| {el | enum-logs} | Tüm günlüklerin adlarını görüntüler. |
| {gl | get-log} <Günlük adı> [/f:<Biçim>] | Belirtilen günlük için, günlüğün etkin olup olmadığını, günlüğün geçerli en büyük boyut sınırını ve günlüğün depolandığı dosyanın yolunu içeren yapılandırma bilgilerini görüntüler. |
| {sl | set-günlük} <Günlük adı> [/e:<Etkin>] [/i:<İzolasyon>] [/lfn:<Logpath>] [/rt:<Saklama>] [/ab:<Otomatik>] [/ms:<MaxSize>] [/l:<Seviye>] [/k:<Anahtar Kelimeler>] [/ca:<Kanal>] [/c:<Config>] | Belirtilen günlüğün yapılandırmasını değiştirir. |
| {ep | enum-yayıncıları} | Yerel bilgisayardaki olay yayımcılarını görüntüler. |
| {gp | get-yayıncı} <Yayıncıadı:> [/ge:<Metadata>], [/gm:<İleti>], [/f:<Biçim>]] | Belirtilen olay yayımcısının yapılandırma bilgilerini görüntüler. |
| {im | install-manifest} <Manifesto> [/{rf | resourceFilePath}:değer] [/{mf | messageFilePath}:değer] [/{pf | parameterFilePath}:değer] |
Bir bildirimden olay yayımcılarını ve günlüklerini yükler. Olay bildirimleri ve bu parametreyi kullanma hakkında daha fazla bilgi için Microsoft Developers Network (MSDN) Web sitesindeki () Windows Olay Günlüğü SDK'sı'na bakınhttps://msdn.microsoft.com. Değer, söz konusu dosyanın tam yoludur. |
| {um | uninstall-manifest} <Manifesto> | Bildirimden tüm yayımcıları ve günlükleri kaldırır. Olay bildirimleri ve bu parametreyi kullanma hakkında daha fazla bilgi için Microsoft Developers Network (MSDN) Web sitesindeki () Windows Olay Günlüğü SDK'sı'na bakınhttps://msdn.microsoft.com. |
| {qe | query-events} <Yol> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/bm:<Bookmark>] [/sbm:<Savebm>] [/rd:<Direction>] [/f:<Format>] [/l:<Locale>] [/c:<Count>] [/e:<Element>] | Olay günlüğünden, günlük dosyasından veya yapılandırılmış sorgu kullanarak olayları okur. Varsayılan olarak, Yol< için >bir günlük adı sağlarsınız. Ancak, /lf seçeneğini kullanırsanız, Yol'un <> bir günlük dosyasının yolu olması gerekir. /sq parametresini kullanırsanız, Yol'un <> yapılandırılmış sorgu içeren bir dosyanın yolu olması gerekir. |
| {gli | get-loginfo} <Günlük adı> [/lf:<Günlük dosyası>] | Olay günlüğü veya günlük dosyası hakkındaki durum bilgilerini görüntüler. /lf seçeneği kullanılırsa, <Logname> bir günlük dosyasının yoludur. Günlük adlarının bir listesini almak için wevtutil el komutunu çalıştırabilirsiniz. |
| {epl | export-log} <Yol><Dışarı Aktarma dosyası> [/lf:<Logfile>] [/sq:<Structquery>] [/q:<Query>] [/ow:<Overwrite>] | Olayları bir olay günlüğünden, günlük dosyasından veya yapılandırılmış sorgu kullanarak belirtilen dosyaya aktarır. Varsayılan olarak, Yol< için >bir günlük adı sağlarsınız. Ancak, /lf seçeneğini kullanırsanız, Yol'un <> bir günlük dosyasının yolu olması gerekir. /sq seçeneğini kullanırsanız, Yol'un <> yapılandırılmış sorgu içeren bir dosyanın yolu olması gerekir. <Dışarı aktarma dosyası> , dışarı aktarılan olayların depolanacağı dosyanın yoludur. |
| {al | arşiv günlüğü} <Günlük Yolu> [/l:<Yerel Ayar>] | Belirtilen günlük dosyasını bağımsız bir biçimde arşivler. Yerel ayar adına sahip bir alt dizin oluşturulur ve yerel ayara özgü tüm bilgiler bu alt dizine kaydedilir. wevtutil al çalıştırılarak dizin ve log dosyası oluşturulduktan sonra, yayıncının kurulu olup olmadığına bakılmaksızın dosyadaki olaylar okunabilir. Not Yerel özellik alt dizinindeki dosyalar üzerine yazılır. Konumun güvenilir olduğundan ve kritik dosyalara güvenilmemiş simlinkler veya bağlantılar içermediğinden emin olun. |
| {cl | temizle-günlük} <Günlük adı> [/bu:<Yedekleme>] | Belirtilen olay günlüğündeki olayları temizler. /bu seçeneği, temizlenen olayları yedeklemek için kullanılabilir. |
Options
| Option | Description |
|---|---|
| /f:<Biçim> | Çıkışın XML veya metin biçimi olması gerektiğini belirtir. <Biçim> XML ise, çıkış XML biçiminde görüntülenir. Biçim< Metin ise>, çıktı XML etiketleri olmadan görüntülenir. Varsayılan değer Metin'dir. |
| /e:<Etkin> | Günlüğü etkinleştirir veya devre dışı bırakır. <Etkin> true veya false olabilir. |
| /i:<Yalıtım> | Günlük yalıtım modunu ayarlar. <Yalıtım> sistem, uygulama veya özel olabilir. Günlüğün yalıtım modu, bir günlüğün aynı yalıtım sınıfındaki diğer günlüklerle bir oturumu paylaşıp paylaşmadığını belirler. Sistem yalıtımı belirtirseniz, hedef günlük en az yazma izinlerini Sistem günlüğüyle paylaşır. Uygulama yalıtımı belirtirseniz, hedef günlük uygulama günlüğüyle en az yazma izinlerini paylaşır. Özel yalıtım belirtirseniz, /ca seçeneğini kullanarak bir güvenlik tanımlayıcısı da sağlamanız gerekir. |
| /lfn:<Günlük yolu> | Günlük dosyası adını tanımlar. <Logpath> , Olay Günlüğü hizmetinin bu günlük için olayları depoladığı dosyanın tam yoludur. |
| /rt:<Bekletme> | Günlük saklama modunu ayarlar. <Bekletme> true veya false olabilir. Günlük saklama modu, bir günlük en büyük boyutuna ulaştığında Olay Günlüğü hizmetinin davranışını belirler. Olay günlüğü boyut üst sınırına ulaşırsa ve günlük saklama modu true ise, mevcut olaylar korunur ve gelen olaylar atılır. Günlük saklama modu false ise, gelen olaylar günlükteki en eski olayların üzerine yazar. |
| /ab:<Otomatik> | Günlük otomatik yedekleme ilkesini belirtir. <Otomatik> true veya false olabilir. Bu değer true ise, günlük maksimum boyuta ulaştığında otomatik olarak yedeklenir. Bu değer doğruysa, bekletme ( /rt seçeneğiyle belirtilen) de doğru olarak ayarlanmalıdır. |
| /ms:<Maksimum Boyut> | Bayt cinsinden günlük boyutu üst sınırını ayarlar. En düşük günlük boyutu 1048576 bayttır (1024 KB) ve günlük dosyaları her zaman 64 KB'ın katlarıdır, bu nedenle girdiğiniz değer uygun şekilde yuvarlanır. |
| /l:<Düzey> | Günlüğün düzey filtresini tanımlar. <Düzey> herhangi bir geçerli düzey değeri olabilir. Bu seçenek yalnızca ayrılmış oturuma sahip günlükler için geçerlidir. Düzey'i 0 olarak ayarlayarak <düzey> filtresini kaldırabilirsiniz. |
| /k:<Anahtar Sözcükler> | Günlüğün anahtar sözcük filtresini belirtir. <Anahtar sözcükler> geçerli herhangi bir 64 bit anahtar sözcük maskesi olabilir. Bu seçenek yalnızca ayrılmış oturuma sahip günlükler için geçerlidir. |
| /ca:<Kanal> | Olay günlüğü için erişim iznini ayarlar. <Kanal> , Güvenlik Tanımlayıcısı Tanım Dilini (SDDL) kullanan bir güvenlik tanımlayıcısıdır. SDDL biçimi hakkında daha fazla bilgi için Bkz. Microsoft Developers Network (MSDN) Web sitesi (https://msdn.microsoft.com). |
| /c:<Config> | Yapılandırma dosyasının yolunu belirtir. Bu seçenek, günlük özelliklerinin Yapılandırma'da <>tanımlanan yapılandırma dosyasından okunmasına neden olur. Bu seçeneği kullanırsanız, bir <Logname> parametresi belirtmemelisiniz. Günlük adı yapılandırma dosyasından okunur. |
| /ge:<Meta Veriler> | Bu yayımcı tarafından oluşturulabilecek olaylar için meta veri bilgilerini alır. <Meta veriler> true veya false olabilir. |
| /gm:<İleti> | Sayısal ileti kimliği yerine gerçek iletiyi görüntüler. <İleti> doğru veya yanlış olabilir. |
| /lf:<Günlük dosyası> | Olayların bir günlükten veya günlük dosyasından okunması gerektiğini belirtir. <Logfile> true veya false olabilir. True ise, komutun parametresi bir günlük dosyasının yoludur. |
| /sq:<Structquery> | Olayların yapılandırılmış bir sorguyla alınması gerektiğini belirtir. <Yapı sorgusu> true veya false olabilir. True ise Path, <> yapılandırılmış sorgu içeren bir dosyanın yoludur. |
| /q:<Sorgu> | Okunan veya dışarı aktarılan olayları filtrelemek için XPath sorgusunu tanımlar. Bu seçenek belirtilmezse, tüm olaylar döndürülür veya dışarı aktarılır. Bu seçenek, /sq doğru olduğunda kullanılamaz. |
| /bm:<Yer İşareti> | Önceki bir sorgudan yer işareti içeren dosyanın yolunu belirtir. |
| /sbm:<Savebm> | Bu sorgunun yer işaretini kaydetmek için kullanılan dosyanın yolunu belirtir. Dosya adı uzantısı .xmlolmalıdır. |
| /rd:<Yön> | Olayların okunma yönünü belirtir. <Yön> doğru veya yanlış olabilir. True ise, en son olaylar önce döndürülür. |
| /l:<Yerel Ayar> | Belirli bir yerel ayardaki olay metnini yazdırmak için kullanılan bir yerel ayar dizesini tanımlar. Yalnızca /f seçeneği kullanılarak olayları metin biçiminde yazdırırken kullanılabilir. |
| /c:<Sayı> | Okunacak en fazla olay sayısını ayarlar. |
| /e:<Öğesi> | XML'de olayları görüntülerken bir kök öğesi içerir. <öğesi> , kök öğesi içinde olmasını istediğiniz dizedir. Örneğin, /e:root, root</root>< kök öğe çiftini >içeren XML ile sonuçlanır. |
| /ow:<Üzerine yaz> | Dışarı aktarma dosyasının üzerine yazılması gerektiğini belirtir. <Üzerine yazma> true veya false olabilir. True ise ve Exportfile< dosyasında >belirtilen dışarı aktarma dosyası zaten varsa, onay olmadan dosyanın üzerine yazılır. |
| /bu:<Yedekleme> | Temizlenen olayların depolanacağı dosyanın yolunu belirtir. Yedekleme dosyasının adına .evtx uzantısını ekleyin. |
| /r:<Uzak> | komutunu uzak bir bilgisayarda çalıştırır. <Uzak> , uzak bilgisayarın adıdır. im ve um parametreleri uzaktan çalıştırmayı desteklemez. |
| /u:<Kullanıcı Adı> | Uzak bilgisayarda oturum açmak için farklı bir kullanıcı belirtir. <Kullanıcı adı> , etki alanı\kullanıcı veya kullanıcı biçimindeki bir kullanıcı adıdır. Bu seçenek yalnızca /r seçeneği belirtildiğinde geçerlidir. |
| /p:<Parola> | Kullanıcının parolasını belirtir. /u seçeneği kullanılırsa ve bu seçenek belirtilmemişse veya <Parola> * ise, kullanıcıdan bir parola girmesi istenir. Bu seçenek yalnızca /u seçeneği belirtildiğinde geçerlidir. |
| /a:<Yetkilendirme> | Uzak bilgisayara bağlanmak için kimlik doğrulama türünü tanımlar. <Kimlik doğrulaması> Varsayılan, Anlaşma, Kerberos veya NTLM olabilir. Varsayılan değer Anlaşma'dır. |
| /uni:<Unicode> | Çıktıyı Unicode olarak görüntüler. <Unicode> true veya false olabilir. <Unicode> true ise, çıkış Unicode'dadır. |
Remarks
sl parametresiyle yapılandırma dosyası kullanma
Yapılandırma dosyası, wevtutil gl <Logname> /f:xml çıktısıyla aynı biçime sahip bir XML dosyasıdır. Bekletmeyi etkinleştiren, otomatik geri göndermeyi etkinleştiren ve Uygulama günlüğünde en büyük günlük boyutunu ayarlayan bir yapılandırma dosyasının biçimini göstermek için:
<?xml version=1.0 encoding=UTF-8?> <channel name=Application isolation=Application xmlns=https://schemas.microsoft.com/win/2004/08/events> <logging> <retention>true</retention> <autoBackup>true</autoBackup> <maxSize>9000000</maxSize> </logging> <publishing> </publishing> </channel>
Examples
Tüm günlüklerin adlarını listeleyin:
wevtutil el
Yerel bilgisayardaki Sistem günlüğüyle ilgili yapılandırma bilgilerini XML biçiminde görüntüleyin:
wevtutil gl System /f:xml
Olay günlüğü özniteliklerini ayarlamak için yapılandırma dosyası kullanın (yapılandırma dosyası örneği için açıklamalar bölümüne bakın):
wevtutil sl /c:config.xml
Yayımcının oluşturabileceği olaylar hakkındaki meta veriler de dahil olmak üzere Microsoft-Windows-Eventlog olay yayımcısı hakkındaki bilgileri görüntüleyin:
wevtutil gp Microsoft-Windows-Eventlog /ge:true
myManifest.xml bildirim dosyasından yayımcıları ve günlükleri yükleyin:
wevtutil im myManifest.xml
yayımcıları ve günlükleri myManifest.xml bildirim dosyasından kaldırın:
wevtutil um myManifest.xml
Uygulama günlüğündeki en son üç olayı metin biçiminde görüntüleyin:
wevtutil qe Application /c:3 /rd:true /f:text
Uygulama günlüğünün durumunu görüntüleyin:
wevtutil gli Application
Olayları Sistem günlüğünden C:\backup\system0506.evtx'e aktarın:
wevtutil epl System C:\backup\system0506.evtx
C:\admin\backups\a10306.evtx'e kaydettikten sonra Uygulama günlüğündeki tüm olayları temizleyin:
wevtutil cl Application /bu:C:\admin\backups\a10306.evtx
Belirtilen (.evtx) günlük dosyasını bağımsız bir biçimde arşivleyin. Bir alt dizin (LocaleMetaData) oluşturulur ve yerel ayara özgü tüm bilgiler bu alt dizine kaydedilir:
wevtutil archive-log "C:\backup\Application.evtx" /locale:en-us