evtx_dump ist das CLI, das mit dem Rust-Crate omerbenamram/evtx ausgeliefert wird. Es liest eine Windows-.evtx-Datei und gibt jeden Datensatz als XML, JSON oder JSON Lines aus, unter Nutzung mehrerer Threads. Es ist MIT/Apache-lizenziert und läuft unter Windows, macOS und Linux.

Ist diese Seite wirklich derselbe Parser wie evtx_dump?

Ja. Der Parsing-Kern ist das zu WebAssembly kompilierte evtx-Crate, sodass Datensätze auf dieselbe Weise rekonstruiert werden. Der Unterschied ist die Oberfläche: eine Browser-UI mit Filtern und Exporten statt einer Kommandozeile.

evtx_dump vs. python-evtx vs. EvtxECmd?

evtx_dump (Rust) ist am schnellsten und gibt XML/JSON aus. python-evtx ist praktisch innerhalb von Python-Skripten, aber deutlich langsamer. EvtxECmd (Eric Zimmerman) normalisiert Ereignisse in CSV/JSON mit Maps pro Event ID und ist in Windows-zentrierten DFIR-Workflows beliebt.

Kann evtx_dump beschädigte oder unvollständige EVTX-Dateien lesen?

Es toleriert beschädigte Chunks und überspringt Datensätze, die es nicht analysieren kann, statt abzubrechen. Zum Carven von Datensätzen aus nicht zugewiesenem Speicherplatz siehe unseren Leitfaden zum Wiederherstellen gelöschter EVTX-Datensätze.

evtx_dump online: EVTX analysieren, ohne etwas zu installieren

evtx_dump ist das Kommandozeilen-Tool von omerbenamram/evtx, dem schnellen Rust-Parser für Windows-.evtx-Ereignisprotokolle. EVTX parser ist derselbe Parser, kompiliert zu WebAssembly, sodass Sie die Ausgabe von evtx_dump in einem Browser-Tab erhalten — ohne Rust-Toolchain, ohne Binary-Download, und die Datei wird nie hochgeladen.

evtx_dump im Browser öffnen ↗

evtx_dump-Nutzung

Installation

Laden Sie ein vorgefertigtes Binary für Windows, macOS oder Linux von den GitHub-Releases des Projekts herunter, oder bauen Sie es mit Cargo.

cargo install evtx

Nach XML dumpen (Standard)

Ohne Optionen gibt evtx_dump jeden Datensatz als XML aus, dieselbe Struktur, die die XML-Ansicht der Ereignisanzeige zeigt.

evtx_dump Security.evtx > security.xml

Nach JSON oder JSON Lines dumpen

-o json gibt JSON-Datensätze aus; -o jsonl gibt ein JSON-Objekt pro Zeile aus, was jq, Elastic und die meisten Bulk-Loader erwarten.

evtx_dump -o jsonl Security.evtx > security.jsonl

evtx_dump vs. diese Seite

Nutzen Sie evtx_dump für Scripting, sehr große Sammlungen und viele Hosts gleichzeitig. Nutzen Sie die Browser-Version für Ad-hoc-Triage: Sie erhalten Filterung, eine Event-ID-Aufschlüsselung, eine Zeitleiste, integrierte Erkennungen und CSV-, TXT-, JSON- oder XML-Export, ohne etwas zu installieren.

So nutzen Sie evtx_dump im Browser

1
EVTX parser öffnenÖffnen Sie die Startseite. Der WebAssembly-Build des evtx-Crates lädt in einem Web Worker.
2
Legen Sie Ihre .evtx-Dateien abZiehen Sie eine oder mehrere .evtx-Dateien in die Ablagezone. Sie werden lokal analysiert, Datensatz für Datensatz, genau wie es evtx_dump tun würde.
3
Prüfen oder exportierenFiltern und prüfen Sie das rekonstruierte XML jedes Ereignisses und exportieren Sie dann nach JSON, CSV, TXT oder XML.

evtx_dump-FAQ

Was ist evtx_dump?: evtx_dump ist das CLI, das mit dem Rust-Crate omerbenamram/evtx ausgeliefert wird. Es liest eine Windows-.evtx-Datei und gibt jeden Datensatz als XML, JSON oder JSON Lines aus, unter Nutzung mehrerer Threads. Es ist MIT/Apache-lizenziert und läuft unter Windows, macOS und Linux.
Ist diese Seite wirklich derselbe Parser wie evtx_dump?: Ja. Der Parsing-Kern ist das zu WebAssembly kompilierte evtx-Crate, sodass Datensätze auf dieselbe Weise rekonstruiert werden. Der Unterschied ist die Oberfläche: eine Browser-UI mit Filtern und Exporten statt einer Kommandozeile.
evtx_dump vs. python-evtx vs. EvtxECmd?: evtx_dump (Rust) ist am schnellsten und gibt XML/JSON aus. python-evtx ist praktisch innerhalb von Python-Skripten, aber deutlich langsamer. EvtxECmd (Eric Zimmerman) normalisiert Ereignisse in CSV/JSON mit Maps pro Event ID und ist in Windows-zentrierten DFIR-Workflows beliebt.
Kann evtx_dump beschädigte oder unvollständige EVTX-Dateien lesen?: Es toleriert beschädigte Chunks und überspringt Datensätze, die es nicht analysieren kann, statt abzubrechen. Zum Carven von Datensätzen aus nicht zugewiesenem Speicherplatz siehe unseren Leitfaden zum Wiederherstellen gelöschter EVTX-Datensätze.