powershell - WMI查询以捕获永久用户的交互式登录事件

Question

我是一名Powershell新手，我想创建一个过滤器来捕获人类用户的登录信息。查看那里的文档，最流行的WMI查询似乎是:

SELECT * FROM __InstanceCreationEvent WITHIN 15 WHERE TargetInstance
ISA 'Win32_LogonSession' AND TargetInstance.LogonType = 2

这似乎不起作用，我认为交互式登录的类型应该为0而不是2。但是，这似乎仍然不起作用。你们有没有知道这个过滤器有效的过滤器？

Answer 1

正如您所述，基于Microsoft's documentation，交互式登录似乎是2的值。

使用PowerShell，您可以使用类似以下内容的查询:

如果不确定哪个版本已运行$PSVersionTable.PSVersion，请查看主要版本。

Powershell版本2或更低版本

Get-WmiObject -Class 'Win32_LogonSession' | Where {$_.LogonType -eq '2'}

PowerShell版本3或更高版本

Get-CimInstance -ClassName 'Win32_LogonSession' | Where {$_.LogonType -eq '2'}

基于 Microsoft's documentation，您可以通过以下任意一种查询:

2 = Interactive

3 = Network

4 = Batch

5 = Service

6 = Proxy

7 = Unlock

8 = NetworkClearText

9 = NewCredentials

10 = RemoteInteractive

11 = CachedInteractive

12 = CachedRemoteInteractive

13 = CachedUnlock

如果要查询多种登录类型，可以将where语句更改为以下内容:

Where {$_.LogonType -in ('2','10','11','12')}

希望这可以帮助。