Question

全部，

我正在尝试使用WMI和WQL获取事件日志条目。

我可以使用正确的源名称获取正确的日志，依此类推，但我可以进行选择查询，仅获得过去5分钟或10分钟的结果。

这是我的查询：

Answer 1

以下是我的剧本中的一些片段：

Dim dtmStart, dtmEnd, sDate, ...

我实际上有一系列日期，我正在寻找一整天的登录/关闭/解锁事件。所以我从那里建立了完整的开始和结束日期。

我不会把日期和年份放进去，但你可以定义它，例如sDate = 10100608。

dtmStart = sDate + "000000.000000-420" '0hr on the date in question.
dtmEnd = sDate + "235900.000000-420" ' 23:59 on the date in question

（请注意，UTC偏移在几分钟内，这里是北美洲-420天的节电时间。）

Set colEvents = oWMIService.ExecQuery _
        ("SELECT * FROM Win32_NTLogEvent WHERE Logfile = 'Security' AND " _
            & "TimeWritten >= '" & dtmStart & "' AND TimeWritten < '" _
            & dtmEnd & "' AND " _
            & "(EventCode = '528' OR EventCode = '540' OR EventCode = '538')")
            ' Query for events during the time range we're looking for.

Answer 2

麦克，

显示您的查询。通常时间格式是这样的

20100608100000.000000-300

有关WQL的日期时间格式的详细信息，请参阅this

WMI EventLog时间间隔

2 个答案: