Skip to content
evtxparser
DFIR开源 · 100% 在浏览器中运行

EVTX parser — 浏览器中的 Windows 事件日志查看器

将一个 Windows .evtx 事件日志拖入。解析全部在浏览器中通过 WebAssembly 完成 — 不会上传任何内容。

如何获取 .evtx 文件

从没从 Windows 主机上导出过事件日志?选第一个适合你的方法即可,一分钟就能搞定。

  1. 收集 .evtx 文件
  2. 拖放到这里(可一次拖多个)
  3. 全部在浏览器内处理

在 Windows 主机上以管理员身份运行(右键 PowerShell 或命令提示符 → 以管理员身份运行)。读取安全日志需要管理员权限。

一次导出关键日志

PowerShell (Admin)
New-Item -ItemType Directory -Force C:\triage | Out-Null; foreach ($c in 'Security','System','Application','Microsoft-Windows-PowerShell/Operational','Microsoft-Windows-Sysmon/Operational') { wevtutil epl $c "C:\triage\$($c -replace '/','%4').evtx" /ow:true }

将 Security、System、Application、PowerShell 和 Sysmon 日志写入 C:\triage\。主机上不存在的日志(例如未安装 Sysmon)只会显示一条错误,忽略即可。然后把 C:\triage\ 中的文件拖放到这里。

仅导出安全日志

cmd (Admin)
mkdir C:\triage 2>nul & wevtutil epl Security C:\triage\Security.evtx /ow:true

不想用命令行?用事件查看器

运行 eventvwr.msc → Windows 日志 → 右键“安全”(或任意日志)→“将所有事件另存为...”(Save All Events As…)→ 保存类型保持“事件文件 (*.evtx)”→ 保存。

常见坑

  • Windows 会一直占用正在使用的日志,直接复制会失败:请用上面的方法,而不是资源管理器或 copy。
  • 日志是循环写入的:写满后最旧的事件会被覆盖(默认大小往往只有 20 MB)。尽早收集,并把 Archive-*.evtx 一起带上 —— wevtutil epl 只导出当前活动日志。
  • 请拖放 .evtx 文件,不要拖 .zip 或文件夹:先解压,再全选 .evtx 文件。时间默认按 UTC 显示(可在查看器中切换为本地时间)。
采集指南:4 种方法对比 →
读取你采集的每一个通道
  • Security
  • System
  • Sysmon
  • PowerShell
  • RDP
  • Defender
  • Task Scheduler
  • WMI
  • Application

什么是 EVTX 文件？

.evtx 文件是 Windows 事件日志 — Windows 自 Vista 起用于记录安全、系统和应用程序事件的二进制格式。它们位于 C:\Windows\System32\winevt\Logs（Security.evtx、System.evtx、Application.evtx 等），不是纯文本，记事本无法读取。将文件拖放到上方即可查看。 EVTX 格式完整指南 →

为事件响应而生

从原始 .evtx 到调查结论,只需几分钟

DFIR 分析师所需的一切,无需安装事件查看器、Python 或 SIEM。

  • 打开即狩猎，内置 Sigma

    Kerberoasting、日志清除、PowerShell 下载器、新建服务、暴力破解等 86 条内置检测和 2395 条 SigmaHQ Sigma 规则在文件加载后立即运行。

  • 分析师熟悉的查询语言

    字段:值、通配符、引号与取反,覆盖所有 EventData 字段,并提供即时分面与稀有值排序。

  • 一键透视

    从任意事件跳转到相同登录 ID、进程 GUID、父进程或 ±5 分钟时间窗口。

  • 重建登录会话

    谁登录、如何登录、从哪里登录、拥有何种特权以及做了什么——从 4624 到 4634,每个会话一行。

  • 笔记与 Markdown 报告

    为事件加书签和注释,导出整洁报告,或通过链接分享过滤视图。

  • 离线且开源

    可在 Docker 中隔离运行,Elastic License 2.0,Rust 解析器可在 GitHub 上审计。

    $ docker run --rm -p 3000:3000 evtx-parser
条内置狩猎规则
86
字节上传
0
编译为 WebAssembly 的解析器
Rust
种语言
8

在哪里找到 .evtx 文件

在源主机上,每个事件日志通道都是一个独立的 .evtx 文件,全部位于同一文件夹。路径假定 Windows 安装在默认文件夹 C:\Windows（%SystemRoot%）。

  • 日志文件夹 — 所有通道Windows Vista / Server 2008 及以上C:\Windows\System32\winevt\Logs\
  • SecurityC:\Windows\System32\winevt\Logs\Security.evtx
  • SystemC:\Windows\System32\winevt\Logs\System.evtx
  • ApplicationC:\Windows\System32\winevt\Logs\Application.evtx
  • SysmonC:\Windows\System32\winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx
  • PowerShell (4103/4104)C:\Windows\System32\winevt\Logs\Microsoft-Windows-PowerShell%4Operational.evtx
  • Windows PowerShell (400/600/800)C:\Windows\System32\winevt\Logs\Windows PowerShell.evtx
  • RDP — LocalSessionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-LocalSessionManager%4Operational.evtx
  • RDP — RemoteConnectionManagerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TerminalServices-RemoteConnectionManager%4Operational.evtx
  • Task SchedulerC:\Windows\System32\winevt\Logs\Microsoft-Windows-TaskScheduler%4Operational.evtx
  • DefenderC:\Windows\System32\winevt\Logs\Microsoft-Windows-Windows Defender%4Operational.evtx
  • 已归档日志(启用自动备份时为 Archive-<通道>-<时间戳>.evtx)C:\Windows\System32\winevt\Logs\Archive-Security-*.evtx
  • 旧版 .evt(另有 AppEvent.Evt、SysEvent.Evt)— 本工具不支持Windows XP / Server 2003C:\Windows\System32\config\SecEvent.Evt

如何获取

  • EventLog 服务会一直占用活动日志,直接复制会失败。在管理员命令行中运行 wevtutil epl Security C:\triage\Security.evtx 可导出干净副本(仅活动日志,不含 Archive-* 文件)。
  • 要原样获取整个文件夹:使用 KAPE(--target EventLogs)、FTK Imager 或 RawCopy,或从挂载的 E01 镜像或卷影副本(VSS)离线读取。
  • 每个 .evtx 都是自包含的,无需配套文件。通道可能被重定向:用 wevtutil gl <通道>(logFileName)确认实际路径。
采集指南:4 种方法对比 →
DFIR

精选指南

一款在浏览器中运行的免费在线 EVTX 查看器

EVTX parser 是一款在线 EVTX 查看器和 Windows 事件日志解析器。打开一个 .evtx 文件——Security.evtx、System.evtx、Application.evtx、Sysmon 或 PowerShell 通道——无需 Event Viewer、无需安装任何软件、也无需 Windows 主机即可读取每一条记录。

解析完全在客户端通过编译为 WebAssembly 的 Rust 解析器运行，因此您的日志绝不会离开浏览器。按 Event ID、提供程序、通道或时间进行筛选，查看事件的原始 XML，并只需点击几下即可将结果导出为 CSV、JSON 或 XML。现在您可以一次打开多个 .evtx 文件，并在一个合并视图中进行分流。

继续阅读：EVTX 转 XMLEVTX 转 CSVEVTX 转 TXTEVTX 转 JSON在 Mac 和 Linux 上打开 EVTXevtx_dump 在线版打开 Security.evtx打开 System.evtxWindows 事件 ID 百科EVTX 工具对比

事件日志 FAQ

什么是 EVTX 文件?
EVTX 是 Windows Vista 引入的二进制事件日志格式。每个 .evtx 文件由若干 64 KB 的块组成;每个块包含一张 XML 模板表以及一串引用这些模板的记录。解析过程会为每条事件还原出完整的 XML。
Windows 上 .evtx 在哪里?
运行中的日志位于 C:\Windows\System32\winevt\Logs。取证中最重要的三个是 Security.evtx(登录、特权使用)、System.evtx(驱动、服务)和 Application.evtx(应用错误)。在事件响应中,Sysmon 与 PowerShell 通道通常最有价值。
这个工具会把我的 .evtx 上传到任何地方吗?
不会。解析在 Web Worker 中通过编译为 WebAssembly 的 Rust 版 EVTX 解析器进行。文件只在浏览器内存中读取,绝不会传输出去。可以断开网络来验证。
能否对 .evtx 文件运行 Sigma 规则？
可以。Sigma 标签页会在浏览器的 Web Worker 中，对已加载的事件运行约 2,400 条 SigmaHQ Windows 规则（随网站打包的固定版本）——与 Hayabusa 或 Chainsaw 类似，但无需安装。进程创建规则同时适用于 Sysmon 事件 ID 1 和 Security 4688。你也可以粘贴或拖入自己的 Sigma YAML 规则：它们只在本地校验和运行，绝不上传。命中结果和 CSV/JSON 导出会按 Detection Rule License 1.1 的要求注明每条规则的作者。
「级别」列是什么意思?
EVTX 的级别是数字:1 严重、2 错误、3 警告、4 信息、5 详细。微软将一些常见 ID 映射到固定级别(如 Security 4625 = 认证失败在「信息」级别) — 仅凭级别不足以判定优先级。
能解析非常大的 .evtx 吗?
解析运行在 Web Worker 线程中。内存随文件大小增长;数百 MB 在现代浏览器中可以从容处理。更大的集合可以先用 evtx_dump 导出,再分段加载。

下一次调查,从拖放开始。

免费、开源、隐私优先。无需账号、无需上传、无需安装。

在 GitHub 上查看