Экспорт файла журнала просмотра событий в виде файла * .evtx - PullRequest
Новая
       12

Экспорт файла журнала просмотра событий в виде файла * .evtx

0 голосов
/ 13 июня 2018

Я пытаюсь экспортировать информацию из средства просмотра событий.

Я пытаюсь сделать это с EventLogSession , чтобы я мог иметь ее в формате .evtx, а не просто в тексте.файл. 

public static void ExportEventViewerLog(int YearsAgo = 0, int MonthsAgo = 0, int DaysAgo = 0)
{
        int Year = 0;
        int Month = 0;
        int Day = 0;

        if (YearsAgo != 0)
        {
            Year = YearsAgo;
        }
        else if (MonthsAgo != 0)
        {
            Month = MonthsAgo;
        }
        else if (DaysAgo != 0)
        {
            Day = DaysAgo;
        }

        DateTime previousDate = DateTime.Now.AddYears(-Year).AddMonths(-Month).AddDays(-Day);
        DateTime now = DateTime.Now.Date;

        Console.WriteLine(previousDate.ToString("yyyy-MM-dd"));
        //2018-06-12
        Console.WriteLine(now.ToString("hh:mm:ss"));
        //12:00:00

        string path = Path.Combine(Environment.GetFolderPath(Environment.SpecialFolder.Desktop), "test.evtx");
        string query = "<QueryList> " + $@"<Select Path=""Application"">*[System[(Level=1  or Level=2 or Level=3 or Level=4 or Level=0 or Level=5) and TimeCreated[@SystemTime&gt;='{previousDate.ToString("yyyy-MM-dd")}T{previousDate.ToString("hh:mm:ss")}.000Z' and @SystemTime&lt;='{now.ToString("yyyy-MM-dd")}T{now.ToString("hh:mm:ss")}.999Z']]]</Select> " + "</Query> " + "</QueryList>";

        EventLogSession eventLogSession = new EventLogSession();
        eventLogSession.ExportLogAndMessages("Application", PathType.LogName, query, path, false, CultureInfo.CurrentCulture);
}

Вот как я его называю 

static void Main()
{
        ExportEventViewerLog(YearsAgo: 0, MonthsAgo: 0, DaysAgo: 1);
        Console.WriteLine("Press Any Key To Exit");
        Console.ReadKey();
}

Вот ошибка

System.Diagnostics.Eventing.Reader.EventLogException

System.Diagnostics.Eventing.Reader.EventLogException HResult=0x80131500 Source=System.Core StackTrace: at System.Diagnostics.Eventing.Reader.EventLogException.Throw(Int32 errorCode) at System.Diagnostics.Eventing.Reader.NativeWrapper.EvtExportLog(EventLogHandle session, String channelPath, String query, String targetFilePath, Int32 flags) at System.Diagnostics.Eventing.Reader.EventLogSession.ExportLog(String path, PathType pathType, String query, String targetFilePath, Boolean tolerateQueryErrors) at System.Diagnostics.Eventing.Reader.EventLogSession.ExportLogAndMessages(String path, PathType pathType, String query, String targetFilePath, Boolean tolerateQueryErrors, CultureInfo targetCultureInfo) at app.Program.ExportEventViewerLog(Int32 YearsAgo, Int32 MonthsAgo, Int32 DaysAgo) in C:\Users\User\app\Program.cs:line 296 atapp_1._0.Program.Main() in C:\Users\User\Google Drive\app\Program.cs:line 34

Примечание: я не верю, что проблема в пути, потому что если я изменю запрос на подстановочный знак *, метод будет выполнен без ошибокЯ сгенерировал запрос из event viewer -> filter current log -> xml

Вот исходный запрос, сгенерированный из Event Viewer 

<QueryList>
<Query Id="0" Path="Application">
<Select Path="Application">*[System[(Level=1  or Level=2 or Level=3 or Level=4 or Level=0 or Level=5) and TimeCreated[@SystemTime&gt;='1991-07-24T21:12:12.000Z' and @SystemTime&lt;='2018-06-12T21:12:12.999Z']]]</Select>

1 Ответ

0 голосов
/ 13 июня 2018

Вам не хватает тега XML: 

<Query Id=\"0\" Path=\"Application\">

Исправление этого по-прежнему вызывало это исключение для меня, даже как администратора, однако исправили его по другому пути (возможно, из-за того, что у службы просмотра событий отсутствуют разрешения напуть пользователя) 

string path = Path.Combine(Path.GetTempPath(), "test.evtx");
...