通过Windows事件查看器查询系统关机和重启日志

news2024/11/18 9:32:35

文章目录

前言
一、事件查看器是什么？
二、怎么使用事件查看器查看开机和关机日志
三、Windows常用事件ID
总结

前言

昨天服务器应用程序的接口突然都访问不了，远程进入了服务器发现程序没有问题，但服务器的桌面非常干净（一般总有未关的文件夹和文件挂载在桌面上），这时我怀疑有人重启了服务导致接口突然不能访问然后又突然好了。Windows系统有什么工具可以查看开机和关机日志呢？这时我想到了事件查看器

一、事件查看器是什么？

Windows事件查看器（Windows Event Viewer）是Windows操作系统集成的一项功能，用于查看和分析系统事件和日志。它可以提供关于系统、应用程序和安全的事件信息，帮助用户追踪问题、诊断错误和维护系统的稳定性。

Windows事件查看器可以记录各种类型的事件，例如应用程序错误、系统故障、设备驱动程序问题、安全审计等。它收集并保存了系统的事件日志，用户可以根据需要进行搜索、筛选和分析。

通过Windows事件查看器，用户可以查看事件的详细信息，例如发生时间、事件级别、事件来源、事件说明等。用户还可以创建和管理自定义事件日志，设置事件过滤器和提醒，以便及时发现并解决系统问题。

二、怎么使用事件查看器查看开机和关机日志

第一步：按下Win + R键，输入"eventvwr.msc"，然后按Enter键
在这里插入图片描述

第二步：在事件查看器中，左侧面板会显示一系列的事件日志，如"Windows 日志"、"应用程序和服务日志"等。点击其中一个日志类别以展开其细分

第三步：根据事件ID筛选当前日志
6005和6006分别是开机和关机事件。
在这里插入图片描述

三、Windows常用事件ID

安全日志事件

事件ID	说明
4624	成功的账号登录
4625	登录尝试失败
4634	用户注销
4648	使用明显凭证的登录尝试
4672	分配专用权限的用户登录
4720	创建用户帐户
4728	向安全组中添加成员
4732	向本地组中添加成员
4740	用户帐户被锁定

系统日志事件

事件ID	说明
6005	事件日志服务已启动（开机）
6006	事件日志服务已停止（关机）
6008	不正常关机的日志
7001	服务依赖关系失败，无法启动服务
7009	服务超时（在启动设置的时间内未能启动）
7011	服务响应失败（未在预期时间内响应请求）

应用程序日志事件

事件ID	说明
1000	应用程序错误（负责记录应用程序崩溃事件）
1001	应用程序挂起（记录程序悬停或响应超时）
1002	应用程序响应停止

DC（域控制器）特定事件：

事件ID	说明
4741	创建计算机帐户
4767	用户账户解锁
4781	更改帐户名称

请记住，事件 ID 只有当它与其他信息（如源、消息、涉及的用户账户等）结合起来时才最有用。同时，由于各种操作系统版本（Windows Server 2003、2008、2012、2016、2019，Windows 7、8、10、11）之间存在差异，部分事件 ID 可能会发生变化。此外，第三方应用程序和服务可以定义它们自己的事件 ID。因此，针对特定的事件 ID 解读，最好以实际环境中它发生的上下文为准。