windows命令行工具導出系統日志——wevtutil

前言

當拿到windows的shell但是沒有圖形化界面時（如cs的shell、msf的shell、命令執行的shell等），需要查詢日志卻無法使用日志查看器，可以使用wevtutil工具導出日志文件。

wevtutil工具常用命令

列出所有已注冊的事件日志

C:\> wevtutil el

將System日志導出到文件C:\System_log.evtx

C:\> wevtutil epl System C:\System_log.evtx

導出遠程桌面日志到C:\rdp_log.evtx

C:\> wevtutil epl Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational C:\rdp_log.evtx

在應用日志中的最后100個條目中搜索ID為1704的事件

C:\> wevtutil qe Application /q:"Event/System/EventID=1704" /c:100 /f:text