电脑使用日志查看器

可通过Windows事件查看器查看系统、应用程序及安全日志，支持筛选、导出.evtx文件、启用Shell操作日志，并用PowerShell提取登录事件。

如果您需要了解电脑在运行过程中发生的系统事件、应用程序错误或安全相关活动，则可以通过内置的日志查看器工具访问详细的记录信息。以下是使用 Windows 系统自带事件查看器查看电脑使用日志的具体操作方法：

一、通过事件查看器打开系统日志

Windows 事件查看器是系统内置的诊断工具，用于收集和显示操作系统、应用程序及安全模块生成的日志条目。它将日志分为多个通道，包括“系统”、“应用程序”和“安全”，便于按类别筛选查看。

1、按下 Win + R 组合键，打开“运行”对话框。

2、在输入框中键入 eventvwr.msc，然后按回车键。

3、等待事件查看器窗口加载完成，左侧导航栏中展开“Windows 日志”节点。

4、依次点击“系统”、“应用程序”、“安全”等子项，右侧窗格将显示对应类别的日志列表。

二、使用筛选功能定位特定日志

默认情况下，事件查看器会显示全部日志条目，数量庞大且混杂。启用筛选可快速定位与用户操作、登录行为或软件启动相关的记录，提升查阅效率。

1、在右侧日志列表空白处右键单击，选择“筛选当前日志”。

2、在“事件级别”区域勾选 信息 和 警告（如需追踪常规使用行为）。

3、在“事件来源”下拉菜单中选择 WinLogon 或 User32，以查看用户登录/注销事件。

4、点击“确定”，界面仅保留匹配条件的日志条目。

三、导出指定时间段内的使用日志

为便于归档或进一步分析，可将某一时段内产生的日志保存为 .evtx 文件。该格式支持跨设备导入，并保留原始时间戳与事件ID。

1、在事件查看器左侧导航栏中，右键单击目标日志类型（例如“系统”），选择“属性”。

2、记下“最大日志大小”和“日志文件路径”字段中的位置，如 %SystemRoot%\System32\Winevt\Logs\System.evtx。

Sunshine Office Anywhere(CRM集成版)[OA+CRM]

CRM集成版基本功能:　　　　内部邮件，短信息，个人文件柜，日程安排，名片录，网络硬盘，个人网址收藏，个人使用情况统计分析。　　　　新闻管理，公告管理，日程安排查询，工作日志查询，公共网址管理，人事档案管理，组织机构信息查询。 　　　　企业文档管理，规章制度，电子刊物。　　　　人力资源管理，档案管理，培训管理，奖惩管理，招聘信息，劳动合同　　　　系统单位信息管理，部门信息管理，用户管理，用户角色设

下载

3、返回日志列表，右键单击任意条目，选择“将所有事件另存为…”。

4、在保存对话框中选择“事件查看器事件日志（.evtx）”格式，指定保存路径并确认。

四、启用详细跟踪日志（启用Shell日志）

标准事件日志不记录桌面程序启动、窗口切换等交互细节。启用“Shell”日志后，系统将在“应用程序和服务日志 > Microsoft > Windows > Shell > Operational”中生成用户界面级操作记录。

1、在事件查看器左侧导航栏中，展开“应用程序和服务日志 > Microsoft > Windows”。

2、找到并右键单击 Shell，选择“查看 > 启用日志”。

3、刷新后展开“Shell > Operational”，即可看到包含 Explorer.exe 启动、任务栏按钮点击等细粒度事件。

4、若日志未自动出现，可手动触发一次资源管理器重启：在任务管理器中结束“Windows 资源管理器”进程，再点击“文件 > 运行新任务”，输入 explorer.exe 并确认。

五、使用PowerShell命令快速提取登录日志

PowerShell 提供了比图形界面更灵活的日志查询能力，尤其适合批量提取用户登录、注销及远程会话事件，无需打开事件查看器界面。

1、以管理员身份运行 PowerShell。

2、执行以下命令获取最近24小时内的登录事件：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624; StartTime=(Get-Date).AddHours(-24)} | Select TimeCreated, Message

3、若需导出结果至CSV文件，追加管道命令：
| Export-Csv C:\LoginEvents.csv -Encoding UTF8

4、检查输出文件，其中“Message”字段包含登录账户名、登录类型（如交互式、远程桌面）及工作站名称等关键字段。