c++ - 如何读取 Windows 7 上的启动时间事件？

Question

我正在尝试使用 ETW 函数读取文件但没有成功:

C:\Windows\System32\winevt\Logs\Microsoft-Windows-Diagnostics-Performance%4Operational.evtx

为了捕捉开机时间事件。

各种功能我都试过了-

• OpenTrace 给出错误 161
• EvtQuery 给出错误 15000

有没有人有读取系统跟踪文件的 native 代码示例？

Answer 1

我的工作方式如下 -

LPWSTR pwsPath = L"Microsoft-Windows-Diagnostics-Performance/Operational";
LPWSTR pwsQuery = L"Event/System[EventID=100]";

hResults = EvtQuery(NULL, pwsPath, pwsQuery,
                    EvtQueryChannelPath | EvtQueryReverseDirection);

可以通过转到事件日志上的“属性”并使用它的全名来找到 channel 名称。

错误 15000 是由于我尝试使用给定的标志而不是 channel 名称打开日志文件。