通过windows日志查看器查看系统登陆日志

原创 已于 2023-11-20 16:42:39 修改 · 3.3w 阅读 · 83 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#windows

于 2021-06-12 12:31:50 首次发布
本文介绍了如何通过事件查看器来查看Windows系统的登录记录。主要涉及事件ID4624、4625、4634、4647和4648，以及LogonType的解析，帮助用户识别真实的用户登录行为。通过筛选特定事件ID，可以获取用户登录、注销及远程登录的详细信息，包括IP地址等关键数据。

起因：回到工位发现自己电脑没锁屏，突然想找到查看windows登录记录的方法

参考：

http://www.cflab.net/News/1522379153901

https://blog.youkuaiyun.com/C_chuxin/article/details/84974207

https://www.akunblog.com/archives/275.html

操作方法：

打开事件查看器

事件查看器->windows日志->安全

右侧选择筛选当前日志

筛选事件ID

  • 4624 - 帐户已成功登录
  • 4625 - 帐户登录失败
  • 4634 - 帐户被注销
  • 4647 - 用户发起注销
  • 4648 - 试图使用明确的凭证登录（可以查看远程登陆的相关信息，比如IP地址等）

发现筛选事件ID为4624时，并不是所有的日志都是用户登录行为

TargetUserName为SYSTEM的，LogonType为5的不是用户的登陆行为

TargetUserName为本机微软账户的，LogonType为7的通常所说的用户登陆

LogonType的具体释义：

或者可以筛选事件ID为4648的事件，都是用户手动登录系统的事件

事件ID为4634的事件，为用户锁屏注销的事件

筛选事件ID4634和4648，则可以看到连贯的注销和登录记录

windows日志怎么打开/查看？
猿小白的博客
04-28 1万+
目录一、方法1二、方法2三、方法3 （推荐）
Windows 云服务器登录异常？教你用事件查看器排查 Windows 登录日志！ Windows 登录日志、服务器安全、事件查看器、远程登录排查
代码简单说 Vue、JAVA、PHP、Node.js 熟练运用，接口、架构、性能全搞定。
07-16 497
这套登录排查方法，我现在已经变成了日常运维的“标配”。如果你也在用 Windows 云服务器，强烈建议学会用事件查看器来分析登录情况，比盲猜靠谱多了！
windows日志事件ID列表(604个)
飞雪 SecurityBlog
06-08 8043
windows日志事件ID列表(604个)
安全之心不可无！windows下如何查看谁动过你电脑？
最新发布
logic1001的博客
10-11 1023
共同研发的的网安视频教程，内容涵盖了入门必备的操作系统、计算机网络和编程语言等初级知识，而且包含了中级的各种渗透技术，并且还有后期的CTF对抗、区块链安全等高阶技术。： 默认情况下，Windows 日志文件大小是有限制的（如 20MB），旧的日志会被覆盖。在 Windows 系统中，查找用户登录（包括成功和失败的尝试）记录，主要依赖于一个强大的工具：事件查看器。事件查看器是 Windows 的日志管理中心，登录相关的记录主要存储在 “Windows 日志” -> “安全” 这个部分。
Windows查看用户登录日志
xx先森
03-01 1万+
在弹出的筛选窗口中，选择“事件来源”为“Microsoft-Windows-Security-Auditing”，“事件ID”为“4624”（该事件ID代表用户登录成功），并点击“确定”。打开“事件查看器”：可以通过按下Win + R键，然后输入“eventvwr.msc”命令，或者在开始菜单中搜索“事件查看器”来打开。在“Windows日志”文件夹下，可以看到多个子文件夹，包括“安全性”、“应用程序”、“系统”等。若要筛选特定的登录日志，可以在右侧面板上方的“操作”栏中选择“筛选当前日志”选项。
【Windows日志】记录系统事件的日志
热门推荐
第一天
10-14 5万+
应用程序日志包含由应用程序或系统程序记录的事件，主要记录程序运行方面的事件，例如数据库程序可以在应用程序日志中记录文件错误，程序开发人员可以自行决定监视哪些事件。如果某个应用程序出现崩溃情况，那么我们可以从程序事件日志中找到相应的记录，也许会有助于你解决问题。默认位置：C:\Windows\System32\Winevt\Logs\Application.evtx。
查看windows 登录 日志
阿里日志
12-09 3622
查看window用户登录日志 一、作用: 查看是用户登录时间, 机器是否被别人使用 二、具体步骤:1.命令输入: gpedit.msc2.“计算机配置”→“Windows设置”→“安全设置”→“本地策略”→“审核策略”， 双击其中的“审核帐户登陆事件” ==>审核登录事件-->勾上成功/失败-->点击应用-->点击确定 3.控制面板-->系统和安全-->查看事件日志-->事件查看器-->wi
windows server 查看登录日志
qq_50247813的博客
06-03 8725
点击 “服务器管理器” – > “工具” – > “本地安全策略”审核 成功 和 失败的记录（可以全选也可以选择需要审计的操作）点击 “windows 日志” – > “安全”4672 – 使用超级用户（如管理员）进行登录。点击 “本地策略” – > “点击审核策略”点击 “工具” – > “事件查看器”4647 – 用户启动的注销。4624 --登录成功。4625 --登录失败。4634 – 注销成功。
windows日志查看器 WinLogOnView v1.35官方版
12-24
为您提供windows日志查看器 WinLogOnView下载，WinLogOnView软件是一个免安装的windows日志查看器，软件实用程序显示数据，如登录 ID，用户名的当前登录的帐户、 域和计算机的名称，以及个人电脑的正常运行时间，...
Windows Vista系统中的日志查看器功能介绍.docx
09-27
通过上述改进，Windows Vista的日志查看器在故障排查和系统维护方面展现出更高的效率和实用性，帮助用户更轻松地定位和解决系统出现的问题。同时，这些功能也为IT专业人员提供了更强大的工具来诊断和修复Windows ...
windows_tail 日志查看工具
08-13
大家都知道linux下面 tail 命令可以持续跟踪一个日志文件，自动刷新日志文件的最新消息。但是windows下呢，每次生成日志了要重新打开文件或者刷新才能查看最新日志，很烦吧。此工具针对windows下可用。配置到环境变量里面搭配，在开发中持续打印日志事半功倍。
精选资源
适用于log4j的Windows日志查看器-.NET开发
05-27
Logazmic Minilog的nlog日志查看器。 目前仅支持log4j xml布局。 核心基于Log2console。 在WPF中使用MahApps重写UI。地铁支持：侦听tcp / udp打开* .log4j f Logazmic Minilog日志查看器，用于nlog。 目前仅支持log4...
rizhi.zip_ReadEVTDlg_windows日志_日志分析_系统日志
09-24
ReadEVTDlg是一款用于读取和分析Windows事件查看器（Event Viewer）中的事件日志的小型实用程序，它能够帮助管理员深入理解系统的运行状态。 首先，我们要理解Windows日志的基本构成。Windows日志主要包括安全日志...
Windows系统中查看远程桌面的登录记录
01-04 7406
4. 在 筛选当前日志 页面，在 所有事件 ID 框中输入 4648，单击 确定，系统会列出符合筛选条件的日志，双击对应的事件日志。5. 在 事件属性 页面，单击 详细信息，可查看客户端名称和客户端地址，及事件记录时间等信息，通过该信息分析服务器是否存在安全隐患。3. 打开 事件查看器 页面，依次选择 Windows 日志 > 安全，单击 筛选当前日志。2. 选择 开始，右键单击 运行，在运行框中输入 eventvwr.msc，单击 确定。
查看电脑的用户登录日志
weixin_30603633的博客
05-27 1507
https://www.howtogeek.com/124313/how-to-see-who-logged-into-a-computer-and-when/ 1.首先配置windows记录用户的登录行为 打开gpedit.msc 2.在event viewer中查看 转载于:https://www.cnblogs.com/chucklu/p/6911564...
windows查看用户登陆记录
HardElm的博客
01-10 1万+
1、打开组策略 gpedit.msc 2、计算机配置>windows设置>安全设置>本地策略>审核策略 修改审核账户登录事件 3、查看登陆记录 计算机管理>系统工具>事件查看器>安全性
Windows记录登录日志
NetRookieX的博客
01-20 1万+
有的时候，我们希望系统记录登录的日志，以便查看有无他人动过自己的电脑。 步骤 1.在windows中搜索并打开"组策略"。   2.点击计算机配置-->Windows设置-->安全设置-->本地策略-->审核策略-->审核账户登录事件(不是审核登录事件)   3.双击打开，勾上"成功"和"失败"，点击确定。 4.在(控制面板-->系统和安全..
window服务器看登录日志文件,【谁登了我的电脑？教你如何查看Windows事件日志】，windows日志...
weixin_31244053的博客
08-02 5382
【谁登了我的电脑？教你如何查看Windows事件日志】，windows日志来源：数据安全与取证(ID：Cflab_net)原创：Wendy出于工作需要，除了自己的Mac笔记本，Wendy还配了一个Windows台式机。笔记本随身携带倒没什么，但最近总觉得每次上班打开Windows台式机后跟前一天离开的时候不一样！但到处问也不是太好，只有自己动手查?。好在不难，如果你刚好也有这种怀疑的话，赶快来和我...
评论 7
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值