Vista/Win7 分析舊版事件日誌 (.evt) 崩潰？用 wevtutil 轉換為 .evtx 格式

Vista 以前事件日誌為 .evt 格式，Vista 後改為 .evtx。在新系統上直接開啟舊 .evt 檔會提示「事件日誌損毀」。解決方法：使用 Vista/Win7 內建的 wevtutil 命令將 .evt 轉換為 .evtx，即可正常檢視分析。

轉換指令

以管理員身分開啟命令提示字元，執行：

wevtutil epl application.evt application.evtx /lf:true

參數說明：
epl = export-log (匯出日誌)
/lf:true = 匯出為本地格式 (Local Format)

wevtutil 常用指令速查

• el / enum-logs：列出所有日誌名稱
• gl / get-log：取得日誌設定資訊
• qe / query-events：查詢日誌事件
• epl / export-log：匯出日誌 (含格式轉換)
• cl / clear-log：清除日誌

wevtutil epl 轉換執行畫面

此外，微軟提供的 Log Parser 2.2 也能解析 .evt 並匯出 CSV，但新系統上仍需先轉換格式。掌握 wevtutil 即可輕鬆跨版本分析事件日誌。