从PowerShell中的事件日志过滤最后一个“引导事件”的ID

Question

我需要从事件日志

过滤最后一次“启动事件”的ID

我通过运行 psloglist -accepteula -n 1 -s -o“Microsoft-Windows-Kernel-General”-i 12 -t; 来获取它，我将其重定向到文件并需要过滤只有第一个数字后面跟着;在第二行，如下面的例子所示

  

系统登录\ FDU000084151005：
   107604 ;系统;微软Windows的内核一般;信息; FDU000084151005

请问，拜托，请帮我写一下powershell吗？

Answer 1

如何使用Get-WinEvent：

获取该示例

get-winevent -FilterHashtable @{ProviderName = "Microsoft-Windows-Kernel-General" ; Id = 12} |
select -expand RecordId

Answer 2

您可能可以使用Get-WinEvent cmdlet获取值，请查看帮助示例。我的系统上没有该日志文件，所以我不能给你一个有效的例子。

这是一种使用匹配运算符和$ matches集合从导出文件中提取值的方法：

Get-Content log.txt | Where-Object {$_ -match '^(\d+);'} | Foreach-Object { $matches[1] }