如何使用System.Diagnostics.EventLog从任意evxt文件读取？

Question

如何使用EventLog读取任意evtx文件？

EventLogQuery能够打开evtx文件，但在.NET 2.0中不可用。

Answer 1

假设日志文件是LogA.evtx 。

将LogA.evtx复制到C:\\Windows\\System32\\winevt\\Logs 。

将新的注册表项添加到：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\eventlog

称为LogA 。 例如在PowerShell中：

Set-Location HKLM:

New-Item .\SYSTEM\CurrentControlSet\services\eventlog -Name LogA

打开事件查看器以验证LogA是否显示在“ 应用程序和服务日志”下 。

您现在可以使用EventLog打开LogA ：

using System;
using System.Diagnostics;

namespace EventLogTest
{
    class Program
    {
        static void Main(string[] args)
        {
            var log = new EventLog("LogA");

            Console.WriteLine(log.Entries.Count);
        }
    }
}

您可以通过PowerShell删除LogA ：

[System.Diagnostics.EventLog]::Delete("LogA")