Win7系統日誌記錄系統啟動、應用崩潰、安全審計、硬件故障等關鍵事件，是排查藍屏、服務失敗、權限問題、性能抖動的「黑盒錄音儀」。本文詳解日誌文件位置、分類含義、事件查看器高級用法及導出分析技巧。
C:\Windows\System32\winevt\Logs\
資源管理器地址欄直接輸入上述路徑回車即可打開。
| 日誌類別 | 文件名 | 記錄內容 | 典型排查場景 |
|---|---|---|---|
| 系統 | System.evtx | 驅動加載/失敗、服務啟動/停止、硬件錯誤、Windows更新、電源事件、藍屏BugCheck | 藍屏分析、服務掛起、驅動衝突、非預期關機 |
| 應用程序 | Application.evtx | 用戶態程序錯誤/崩潰、.NET異常、Office故障、第三方軟件日誌 | 程序閃退、安裝失敗、腳本報錯 |
| 安全 | Security.evtx | 登入/登出(事件ID 4624/4625)、權限使用、對象訪問審計、策略變更 | 暴力破解排查、異常登入、權限提升、審計合規 |
| 安裝 | Setup.evtx | Windows更新、功能安裝/卸載、驅動包安裝 | 更新失敗回滾、功能安裝卡住 |
| 轉發事件 | ForwardedEvents.evtx | 訂閱其他機器轉發的事件(集中日誌) | 企業域環境集中監控 |
eventvwr.msc 或 eventvwr資源管理器進入 C:\Windows\System32\winevt\Logs\ → 雙擊 System.evtx 等 → 自動用事件查看器打開。
# 查詢最近50條系統錯誤
Get-WinEvent -LogName System -MaxEvents 50 | Where-Object {$_.Level -le 2} | Format-Table TimeCreated, Id, Message -AutoSize
# 查詢特定事件ID(如藍屏4624登入失敗)
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddDays(-1)} | Select TimeCreated, Message
# 導出為CSV分析
Get-WinEvent -LogName System -MaxEvents 1000 | Select TimeCreated, Id, LevelDisplayName, Source, Message | Export-Csv C:\Logs\System_Latest.csv -NoTypeInformation
事件ID: 41, 1001, 6008 (關機/藍屏/非預期關機).evtx (保留結構) 或 .txt/.csv (人工閱讀)| ID | 日誌 | 含義 | 動作 |
|---|---|---|---|
| 41 | System | 核心電源: 系統未正常關機(藍屏/斷電/死機強制關機) | 檢查同時間段BugCheck/硬件/驅動 |
| 1001 | System | Windows Error Reporting: 藍屏/程序崩潰報告已生成 | 查看C:\Windows\Minidump\.dmp |
| 6008 | System | 事件日誌: 上次關機非預期 | 對應41/1001分析 |
| 7000/7001/7009/7011/7023/7024/7026/7031/7034/7038/7045 | System | 服務控制管理器: 服務啟動失敗/超時/掛起/異常終止/安裝 | 按服務名排查依賴/權限/路徑/登錄 |
| 4624 | Security | 成功登入(類型2交互/3網絡/10遠程/5服務) | 審計正常登入 |
| 4625 | Security | 登入失敗(子狀態碼判斷原因: 0xC000006A密碼錯/0xC0000064用戶不存在/0xC0000072賬戶禁用/0xC0000193賬戶過期/0xC0000224密碼過期) | 暴力破解/誤輸/策略排查 |
| 4688 | Security | 進程創建(命令行審計需啟用) | 惡意腳本/異常進程溯源 |
| 1000/1001/1002 | Application | 應用程序錯誤/崩潰/掛起 | 查看故障模塊/偏移/異常代碼 |
102400 KB(100MB)或更大，覆蓋舊事件gpedit.msc → 計算機配置 → Windows設置 → 安全設置 → 高級審計策略 → 登入/登出/對象訪問/策略變更 → 成功/失敗 皆審計Win7日誌在 C:\Windows\System32\winevt\Logs\，核心看 System/Application/Security 三大金剛。用 eventvwr.msc 篩選Event ID，會 Get-WinEvent 做自動化。記住 41/1001/6008(藍屏)、70xx(服務)、4624/4625(登入)、1000(應用崩潰) 這幾個關鍵ID，排故效率提升十倍！
