admin 管理员组

文章数量: 1184232

起因：回到工位发现自己电脑没锁屏，突然想找到查看windows登录记录的方法

参考：

http://www.cflab/News/1522379153901

https://blog.csdn/C_chuxin/article/details/84974207

https://www.akunblog/archives/275.html

操作方法：

打开事件查看器

事件查看器->windows日志->安全

右侧选择筛选当前日志

筛选事件ID

  • 4624 - 帐户已成功登录
  • 4625 - 帐户登录失败
  • 4634 - 帐户被注销
  • 4647 - 用户发起注销
  • 4648 - 试图使用明确的凭证登录（可以查看远程登陆的相关信息，比如IP地址等）

发现筛选事件ID为4624时，并不是所有的日志都是用户登录行为

TargetUserName为SYSTEM的，LogonType为5的不是用户的登陆行为

TargetUserName为本机微软账户的，LogonType为7的通常所说的用户登陆

LogonType的具体释义：

或者可以筛选事件ID为4648的事件，都是用户手动登录系统的事件

事件ID为4634的事件，为用户锁屏注销的事件

筛选事件ID4634和4648，则可以看到连贯的注销和登录记录

本文标签： 日志 查看器 系统 Windows

版权声明：本文标题：通过windows日志查看器查看系统登陆日志 内容由网友自发贡献，该文观点仅代表作者本人， 转载请联系作者并注明出处：http://www.roclinux.cn/b/1728720424a1281980.html， 本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容，一经查实，本站将立刻删除。