Skip to content
evtxparser

evtx_dump online: analise EVTX sem instalar nada

evtx_dump é a ferramenta de linha de comando do omerbenamram/evtx, o parser Rust rápido para logs de eventos do Windows .evtx. EVTX parser é esse mesmo parser compilado para WebAssembly, então você obtém a saída do evtx_dump em uma aba do navegador — sem toolchain Rust, sem baixar um binário, e o arquivo nunca é enviado.

Abrir o evtx_dump no navegadorVer no GitHub

Uso do evtx_dump

Instalação

Baixe um binário pronto para Windows, macOS ou Linux nas releases do GitHub do projeto, ou compile-o com o Cargo.

cargo install evtx

Exportar para XML (padrão)

Sem opções, o evtx_dump imprime cada registro como XML, a mesma estrutura que a visão XML do Visualizador de Eventos mostra.

evtx_dump Security.evtx > security.xml

Exportar para JSON ou JSON Lines

-o json imprime registros JSON; -o jsonl imprime um objeto JSON por linha, o que jq, Elastic e a maioria dos carregadores em lote esperam.

evtx_dump -o jsonl Security.evtx > security.jsonl

evtx_dump vs. este site

Use o evtx_dump para scripting, coleções muito grandes e vários hosts ao mesmo tempo. Use a versão do navegador para triagem pontual: você obtém filtragem, uma repartição por Event ID, uma linha do tempo, detecções integradas e exportação para CSV, TXT, JSON ou XML sem instalar nada.

Como usar o evtx_dump no navegador

  1. Abra o EVTX parserAbra a página inicial. A build WebAssembly do crate evtx carrega em um Web Worker.
  2. Solte seus arquivos .evtxArraste um ou vários arquivos .evtx para a área de soltar. Eles são analisados localmente, registro por registro, exatamente como o evtx_dump faria.
  3. Inspecione ou exporteFiltre e inspecione o XML reconstruído de cada evento, depois exporte para JSON, CSV, TXT ou XML.

FAQ do evtx_dump

O que é o evtx_dump?
evtx_dump é o CLI que acompanha o crate Rust omerbenamram/evtx. Ele lê um arquivo Windows .evtx e imprime cada registro como XML, JSON ou JSON Lines, usando múltiplas threads. É licenciado sob MIT/Apache e roda em Windows, macOS e Linux.
Este site é realmente o mesmo parser que o evtx_dump?
Sim. O núcleo de análise é o crate evtx compilado para WebAssembly, então os registros são reconstruídos da mesma forma. A diferença é a interface: uma UI de navegador com filtros e exportações em vez de uma linha de comando.
evtx_dump vs. python-evtx vs. EvtxECmd?
evtx_dump (Rust) é o mais rápido e gera XML/JSON. python-evtx é conveniente dentro de scripts Python, mas bem mais lento. EvtxECmd (Eric Zimmerman) normaliza eventos em CSV/JSON com mapeamentos por Event ID e é popular em workflows de DFIR centrados em Windows.
O evtx_dump consegue ler arquivos EVTX corrompidos ou parciais?
Ele tolera chunks danificados e pula registros que não consegue analisar em vez de abortar. Para extrair registros de espaço não alocado, veja nosso guia sobre recuperação de registros EVTX excluídos.

Sua próxima investigação começa com um arrastar e soltar.

Gratuito, open source e privado por design. Sem conta, sem upload, sem instalação.

Abrir um arquivo .evtxVer no GitHub