powershell - 通过 Powershell 远程获取 WinEvent-6ren

powershell - 通过 Powershell 远程获取 WinEvent

转载作者：行者123 更新时间：2023-12-02 01:25:40

24

4

我对服务器有非管理员权限。我被允许通过 RDP 连接，并使用 PowerShell 远程处理。当我从 RDP session 调用以下 PowerShell 命令时:

Get-WinEvent -MaxEvents 100 -Provider Microsoft-Windows-TaskScheduler

如预期的那样，我得到了 100 条记录。

当我通过 PowerShell 远程执行相同操作时，从我的本地计算机调用以下命令:

invoke-command -ComputerName myserver {Get-WinEvent -MaxEvents 100 -Provider Microsoft-Windows-TaskScheduler }

我得到一个错误:

No events were found that match the specified selection criteria.

CategoryInfo : ObjectNotFound: (:) [Get-WinEvent], Exception

FullyQualifiedErrorId : NoMatchingEventsFound,Microsoft.PowerShell.Commands.GetWinEventCommand

知道为什么吗？远程 PowerShell session 应该在相同的凭据下运行，对吗？

编辑:whoami 确实显示了 RDP 登录和 PowerShell 远程处理之间安全上下文的差异 - 组集不同。在 RDP 登录 session 中， token 中有以下组:

内置\远程桌面用户
NT AUTHORITY\远程交互式登录

在远程的时候，有

控制台登录

这可能是权利差异的原因...

编辑:从注册表来看，任务调度程序日志似乎是系统日志的一部分。根据MS KB article Q323076 ，系统日志的安全描述符可以在 HKLM\SYSTEM\CurrentControlSet\Services\EventLog\System 下找到，值 CustomSD。我无法检查有问题的服务器，但在我作为管理员的另一台服务器上，该 key 下没有 CustomSD。在 HKLM\SYSTEM\CurrentControlSet\Services\EventLog\System\Microsoft-Windows-TaskScheduler 下，两者都不是。只有安全日志获得 CustomSD。下一个问题是，默认 SD 在哪里？

对位于 C:\Windows\System32\winevt\LogsMicrosoft-Windows-TaskScheduler%4Operational.evtx 的实际日志文件的权限无关紧要，访问由 EventLog 服务调解。

最佳答案

如果您不是远程计算机的管理员，invoke-command -ComputerName myserver {whoami/all} 会告诉您是您期望的身份。

您需要加入远程计算机上的Event Log Reader 组。

还有 Remote Management Users 组，我相信你已经是了。

如果您需要阅读安全日志，您还需要在“本地安全策略”->“安全设置”->“本地策略”->“用户权限分配”下管理审核和安全日志

关于powershell - 通过 Powershell 远程获取 WinEvent，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/37215992/

24

4

0

文章推荐： java - 检测编译的 jar 和 repo 中的代码之间的差异

文章推荐： google-chrome - Chrome DevTools - 传输数据的确切大小

powershell - 实现 PowerShell PSProvider *in* PowerShell
我正在寻找实现 PowerShell 提供程序在电源外壳。我一直在想，如果我只是定义类型，然后将它们导入我的 session (导入模块)，我应该能够让它们可用。例如，这个不工作但它沿着我想
powershell - Powershell:与x86 powershell/ise一起运行的脚本
我创建的脚本使用了组件，这些组件仅在32位版本的Powershell中可用。默认情况下，Windows使用Powershell x64执行脚本，这会导致一些错误。是一种在脚本开头设置值以强制Win
powershell - 如何检测 Powershell 中的 Powershell 嵌套？
是否可以从 Powershell 中检测它是否是嵌套 shell？如果我打开 Powershell 或 cmd.exe 窗口，然后输入 powershell 在那里，是否有一个神奇的 $host.s
powershell - 如何为同一台机器自动化 PowerShell 或 PowerShell Core
随着 PowerShell Core 的发布，应用程序在使用托管自动化库 (system.management.automation) 时如何选择调用哪个版本的 Powershell(Powershe
powershell - 如何在企业中使用 PowerShell 和 PowerShell 模块
最近，我加入了我企业的 Windows 团队，凭借我的开发人员背景(一般是 Java、.NET 和 Web)，我很快就对 PowerShell 产生了兴趣。我可以看到它比普通的旧批处理文件、VB 更有
powershell - 如何在另一个 powershell 脚本中包含另一个 powershell 脚本文件？
假设我有一个 powershell 脚本，它在我当前路径的相对路径中包含一个 Powershell 哈希。让我们称之为“name.ps1”，它包含: $names = @{ "bob" = "b
powershell - 为 Powershell 模块添加 Powershell 管理单元并多次导入
我想为我正在构建的自定义 Powershell Commandlet 使用 SqlServerCmdletSnapin。如果我将以下代码添加到 PSM1 的开头: if ( (Get-PSSnapin
powershell - 使用来自另一个 powershell 脚本的参数调用 PowerShell 脚本
如何调用从 PowerShell 脚本中获取命名参数的 PowerShell 脚本？ foo.ps1: param( [Parameter(Mandatory=$true)][String]$a=''
powershell - 何时选择开发 PowerShell 模块而不是 PowerShell 脚本
我即将为 Windows 管理员编写一个 PowerShell 脚本，以帮助他们完成与部署 Web 应用程序相关的某些任务。有什么理由让我应该赞成或排除开发 PowerShell 模块 (.psm1
powershell - 如何在不关闭 powershell 控制台的情况下从 Powershell 模块函数返回非零退出代码？
我的 powershell 模块有一个函数，我希望它返回一个非零退出代码。但是，作为一个模块函数，当我运行 Import-Module 时，它会加载到 powershell 控制台的上下文中。所以，当
powershell - 使用参数从 powershell 中调用 powershell 脚本时遇到问题
我在这个问题上花了最后 4 个小时，非常感谢您提供的任何意见。我需要使用不同的凭据调用 powershell 脚本并将参数传递给该脚本。安装 WISEScript 中包装的程序后，此脚本开始收集机
powershell - 有没有办法让我在 powershell 运行时以编程方式获取 Powershell 输入和输出？
我有一个场景，我需要将 powershell 命令的命令和输出转发到另一个进程以进行日志记录和处理。我希望这个控制台尽可能接近 powershell，因此不希望将它简单地托管在另一个控制台程序中。
powershell - 在 PowerShell 脚本中调用其他 PowerShell 脚本
我正在尝试让一个主 PowerShell 脚本运行所有其他脚本，同时等待 30-60 秒以确保完成任务。我尝试过的所有其他操作都不会停止/等待第一个脚本及其进程完成，然后才能同时完成所有其他脚本，并且
powershell - 如何从 Powershell 打开 Powershell 控制台窗口
我正在编写一个脚本来使用多个 plink (PuTTY) session 作为 Windows 版本的 clustersh。然而，我陷入困境，因为我想从 powershell 打开多个 Powersh
powershell - 如何从 Powershell 运行 Powershell x86？
我读了这个答案:How to Open Powershell from Powershell start powershell 这将打开基础的大分辨率 PS 实例。如何打开 PS(x86)？最佳答案
powershell - 我可以在 PowerShell 退出时将 PowerShell 历史记录写入文本文件吗？
我很想知道我们是否可以在 Powershell 中做到这一点。使用 Out-File 命令，我们可以通过管道将其输出写入文件。这样我就可以将我所有的历史命令发送到一个文本文件中。问题是我可以在每次
powershell - Powershell 中的管道
我在 about_Pipelines 阅读了有关 PowerShell 中的管道工作原理的信息，并了解到管道一次传送一个对象。所以，这个 Get-Service | Format-Table -Pr
powershell - powershell 启动过程出错
我正在尝试像这样从 powershell 启动一个进程:- $proc = (start-process $myExe -argumentList '/myArg True' -windowStyle
powershell - 表达式或语句中的意外标记 - powershell
## To run the script # .\get_status.ps1 -Hostname -Service_Action -Service_Name #$Hostname = "hos
powershell - Powershell 输出的自定义字体颜色
让我们使用 powershell 命令 Write-Host "red text"-Fore red这会在红色前景中显示“红色文本”。但是，您希望文本以稍微亮一点的方式显示字体颜色，浅红色。有没有

首页

博学

6Ren·AI

商城

powershell - 通过 Powershell 远程获取 WinEvent