O que é o evtx_dump?

evtx_dump é o CLI que acompanha o crate Rust omerbenamram/evtx. Ele lê um arquivo Windows .evtx e imprime cada registro como XML, JSON ou JSON Lines, usando múltiplas threads. É licenciado sob MIT/Apache e roda em Windows, macOS e Linux.

Este site é realmente o mesmo parser que o evtx_dump?

Sim. O núcleo de análise é o crate evtx compilado para WebAssembly, então os registros são reconstruídos da mesma forma. A diferença é a interface: uma UI de navegador com filtros e exportações em vez de uma linha de comando.

evtx_dump vs. python-evtx vs. EvtxECmd?

evtx_dump (Rust) é o mais rápido e gera XML/JSON. python-evtx é conveniente dentro de scripts Python, mas bem mais lento. EvtxECmd (Eric Zimmerman) normaliza eventos em CSV/JSON com mapeamentos por Event ID e é popular em workflows de DFIR centrados em Windows.

O evtx_dump consegue ler arquivos EVTX corrompidos ou parciais?

Ele tolera chunks danificados e pula registros que não consegue analisar em vez de abortar. Para extrair registros de espaço não alocado, veja nosso guia sobre recuperação de registros EVTX excluídos.

evtx_dump online: analise EVTX sem instalar nada

evtx_dump é a ferramenta de linha de comando do omerbenamram/evtx, o parser Rust rápido para logs de eventos do Windows .evtx. EVTX parser é esse mesmo parser compilado para WebAssembly, então você obtém a saída do evtx_dump em uma aba do navegador — sem toolchain Rust, sem baixar um binário, e o arquivo nunca é enviado.

Abrir o evtx_dump no navegador ↗

Uso do evtx_dump

Instalação

Baixe um binário pronto para Windows, macOS ou Linux nas releases do GitHub do projeto, ou compile-o com o Cargo.

cargo install evtx

Exportar para XML (padrão)

Sem opções, o evtx_dump imprime cada registro como XML, a mesma estrutura que a visão XML do Visualizador de Eventos mostra.

evtx_dump Security.evtx > security.xml

Exportar para JSON ou JSON Lines

-o json imprime registros JSON; -o jsonl imprime um objeto JSON por linha, o que jq, Elastic e a maioria dos carregadores em lote esperam.

evtx_dump -o jsonl Security.evtx > security.jsonl

evtx_dump vs. este site

Use o evtx_dump para scripting, coleções muito grandes e vários hosts ao mesmo tempo. Use a versão do navegador para triagem pontual: você obtém filtragem, uma repartição por Event ID, uma linha do tempo, detecções integradas e exportação para CSV, TXT, JSON ou XML sem instalar nada.

Como usar o evtx_dump no navegador

1
Abra o EVTX parserAbra a página inicial. A build WebAssembly do crate evtx carrega em um Web Worker.
2
Solte seus arquivos .evtxArraste um ou vários arquivos .evtx para a área de soltar. Eles são analisados localmente, registro por registro, exatamente como o evtx_dump faria.
3
Inspecione ou exporteFiltre e inspecione o XML reconstruído de cada evento, depois exporte para JSON, CSV, TXT ou XML.

FAQ do evtx_dump

O que é o evtx_dump?: evtx_dump é o CLI que acompanha o crate Rust omerbenamram/evtx. Ele lê um arquivo Windows .evtx e imprime cada registro como XML, JSON ou JSON Lines, usando múltiplas threads. É licenciado sob MIT/Apache e roda em Windows, macOS e Linux.
Este site é realmente o mesmo parser que o evtx_dump?: Sim. O núcleo de análise é o crate evtx compilado para WebAssembly, então os registros são reconstruídos da mesma forma. A diferença é a interface: uma UI de navegador com filtros e exportações em vez de uma linha de comando.
evtx_dump vs. python-evtx vs. EvtxECmd?: evtx_dump (Rust) é o mais rápido e gera XML/JSON. python-evtx é conveniente dentro de scripts Python, mas bem mais lento. EvtxECmd (Eric Zimmerman) normaliza eventos em CSV/JSON com mapeamentos por Event ID e é popular em workflows de DFIR centrados em Windows.
O evtx_dump consegue ler arquivos EVTX corrompidos ou parciais?: Ele tolera chunks danificados e pula registros que não consegue analisar em vez de abortar. Para extrair registros de espaço não alocado, veja nosso guia sobre recuperação de registros EVTX excluídos.