windows - 查询过去两周的windows事件日志

Question

我正在尝试导出 Windows 事件日志，但不是根据数量而是根据事件记录的时间来限制导出的事件。我正在尝试在 Windows 7 和更高版本上执行此操作。到目前为止，我的工作重点是使用 wevtutil。

我正在使用 wevtutil，我的命令行现在是:wevtutil Application events.evtx 这里的问题是我导出了整个日志，这可能非常大，所以我想将其限制为最近 2 周。

我找到了 this发布，但首先它似乎没有在我的系统上产生任何输出(是的，我已经更改了日期和时间)，其次它似乎取决于我试图避免的日期格式。

这是我运行的修改后的命令:

wevtutil qe Application "/q:*[System[TimeCreated[@SystemTime>='2012-10-02T00:00:00' and @SystemTime<'2012-10-17T00:00:00']]]" /f:text

我不得不将 < 和 > 替换为实际的符号，否则会出现语法错误。此命令产生空输出。

Answer 1

问题是由于/q: 在引号内。它应该在外面，例如:

wevtutil qe Application /q:"*[System[TimeCreated[@SystemTime>='2012-10-02T00:00:00' and @SystemTime<'2012-10-17T00:00:00']]]" /f:text

这对我来说很好。